{"id":1440,"date":"2023-02-15T13:02:57","date_gmt":"2023-02-15T12:02:57","guid":{"rendered":"https:\/\/www.mc-data.it\/?p=1440"},"modified":"2023-04-12T15:14:37","modified_gmt":"2023-04-12T13:14:37","slug":"openvpn-google-authenticator-pam","status":"publish","type":"post","link":"https:\/\/www.mc-data.it\/?p=1440","title":{"rendered":"OpenVPN + Google Authenticator + PAM"},"content":{"rendered":"\n
\"\"<\/figure>
\n

Breve guida per rinforzare la sicurezza della Vostra Rete Informatica Virtuale (VPN) utilizzando Software Open Source, gratuito e modificabile a piacimento.<\/p>\n\n\n\n

Ambiente Server: Linux Ubuntu Server 22.04; OpenVPN 2.5.5; OpenSSL 3.0.2. <\/p>\n\n\n\n

Ambiente Client: Windows 10; OpenVPN GUI 11.15.0.0<\/p>\n<\/div><\/div>\n\n\n\n

Accessi Remoti all’epoca dello Smart Working<\/h3>\n\n\n\n

Il lavoro da remoto e il c.d. smart working, sono stati i protagonisti degli ultimi 3 anni.<\/p>\n\n\n\n

Quasi chiunque, attivit\u00e0 lvorativa permettendo, ha provato l’ebrezza di svolgere sessioni di lavoro recluso all’interno delle mura domestiche.<\/p>\n\n\n\n

Purtroppo questo, spesso, ha comportato l’uso di strumenti poco ortodossi per accedere alle risorse digitali archiviate all’interno dei Server aziendali.<\/p>\n\n\n\n

Nel migliore dei casi l’Utente, provvisto di chiavetta USB, ha copiato i file di propria pertinenza per lavorarci da Casa.<\/p>\n\n\n\n

In altre occasioni, la sovrabbondanza di Software di controllo remoto (a base VNC e similari, che non cito per copyright), ha fatto tenere accesi computer per settimane in attesa del collegamento da remoto. Collegamento che, nella maggior parte dei casi, avveniva tramite computer Portatili con schermi cos\u00ec piccoli da consumarsi la vista a leggere cosa ci fosse scritto sul computer remoto. Tranne poi ricevere un messaggio derrore e la disconnessione perch\u00e8 “si sta facendo un uso professionale del Software”. E credo che questo l’abbiamo provato tutti.<\/p>\n\n\n\n

La VPN (Virtual Private Network), nella sua accezione tradizionale, \u00e8 un’ottima alternativa. Consente di accedere alla rete LAN Aziendale (Interna) da qualsiasi parte del mondo, purch\u00e8 connessa alla rete Internet.<\/p>\n\n\n\n

Questo, naturalmente, solleva questioni di sicurezza. Prima fra tutte: Ma se si “apre” un accesso da tutto il mondo, non capita poi che tutto il mondo possa accedervi?
Questo \u00e8 il problema: una porta affacciata al mondo esterno deve avere una chiave sicura per poter essere aperta. La semplice combinazione “username + password” , in questo caso, non possono essere considerate una chiave sicura. Soprattutto oggi che, con sistemi che utilizzano la AI (o IA, Intelligenza Artificiale) gli attacchi di ‘Brute Force’ sono diventati pi\u00f9 aggressivi.<\/p>\n\n\n\n

Perci\u00f2 stanno prendendo sempre pi\u00f9 piede i MFA (Multi Factor Authentication) o fattori multipli di autenticazione. Ossia Username + Password + qualcos’altro che so solo io. Per la precisione gli MFA si compingono, per definizione, di qualcosa che sai = Username + Password assieme a qualcosa che hai = un oggetto posseduto da chi \u00e8 titolato ad accedere. Something You Know + Something You Have.<\/p>\n\n\n\n

Tornando alle VPN, fino ad oggi, il massimo cui si pteva ambire era una combinazione tra Username + Password + Certificato rilasciato dal Server che autentica la connessione. Il sistema rispetta di fatto il Principio di SYK + SYH, ma, in caso di furto del computer portatile, (perch\u00e8 quasi tutti installano le VPN sui PC portatili, e questi sono frequente oggetto di furto), il ladro si trova ad avere entrambi.<\/p>\n\n\n\n

Google Authenticator<\/h3>\n\n\n\n

Google Authenticator viene incontro a queste esigenze di sicurezza offrendo chiavi e toppe a prova di “scassinatore”.
In questo caso Google Authenticator diventa “Something You Have Elsewhere” ovvero qualcosa che si ha, ma da un’altra parte, tipicamente sul telefonino.
Si tratta, in sostanza di una APP di google che, tramite un codice, si collega ad un sistema di autenticazione e ogni 30 secondi rilascia una OTP (One Time Password), sincronizzata con il Server.<\/p>\n\n\n\n

Questa \u00e8 un’aggiunta preziosa per rendere inviolabile la propria porta d’accesso alla Rete Aziendale.<\/p>\n\n\n\n

Ovviamente questo non significa che la Rete Aziendale sia del tutto inviolabile; i mostri sacri dell’Informatica insegnano che qualsiasi sistema esposto alla Rete \u00e8 potenzialmente violabile, ma passando da porte sul retro, o finestre, perch\u00e8 il portone principale \u00e8 blindato. <\/p>\n\n\n\n

Configurazioni lato Server<\/h4>\n\n\n\n

Iniziamo a vedere le configurazioni minime indispensabili lato Server.<\/p>\n\n\n\n

come da premessa per la costruzione del Server ci siamo avvalsi di Ubuntu Server 22.04 in versione “minimal” per minimizzare le risorse HW sfruttate.<\/p>\n\n\n\n

Al termine dell’installazione, accedendo da remoto tramite ssh con un qualsiasi client ssh (Per la cronaca Windows, nelle versioni pi\u00f9 recenti, ha incluso ‘ssh’ tra i suoi strumenti da riga di comando. Le opzioni sono le stesse di Linux), eseguire le seguenti operazioni<\/p>\n\n\n\n

Omettiamo volutamente il ‘sudo’ ma questo \u00e8 da aggiungere se le operazioni vengono lanciate da utente non ‘root’.<\/p>\n\n\n\n

apt upgrade\napt update\napt install easy-rsa\napt install openvpn\napt install libpam-google-authenticator\napt install libqrencode3\napt install build-essential<\/code><\/pre>\n\n\n\n
Tutto ci\u00f2 per avere tutti i software necessari installati.<\/p>\n\n\n\n
Per le informazioni su come configurare, avviare e mettere in avvio automatico il Server OpenVPN rimando alle tonnellate di Tutorial presenti in Rete, anche se suggerisco sempre di prendere ad esempio quanto indicato sul Sito ufficiale di OpenVPN, tenendo conto che ci si riferisce alla verione “Community Edition”.<\/p>\n\n\n\n
Personalmente preferiamo creare una cartella sotto \/etc\/openvpn all’interno della quale mettere certificati Server creati da easy-rsa, la cartella easy-rsa stessa e la configurazione server (server.conf)<\/p>\n\n\n\n
Ad uso promemoria ricordiamo che Ubuntu Server, come CentOS e altri, ormai utilizzano ‘systemctl’ per avviare, riavviare, stoppare, abilitare e disabilitare servizi, e che, nel caso di ‘openvpn’ il comando \u00e8:<\/p>\n\n\n\n
systemctl [start] [restart] [stop] [enable] [disable] openvpn-server@server [o il nome che \u00e8 stato dato al file di configurazione *.conf]<\/code><\/pre>\n\n\n\n
Una volta avviata la VPN, andare a modificare il file ‘server.conf aggiungendo le seguenti righe:<\/p>\n\n\n\n
# enable multi-factor authentication with google authenticator\n\nreneg-sec 0\nplugin \/usr\/lib\/openvpn\/openvpn-plugin-auth-pam.so \"openvpn login USERNAME password PASSWORD 'verification code' OTP\"\nverify-client-cert none\nusername-as-common-name<\/code><\/pre>\n\n\n\n
*Da notare che per evitare equivoci abbiamo inserito il path assoluto di ‘openvpn-plugin-auth-pam.so’<\/p>\n\n\n\n
Questo significa che stiamo imponendo a OpenVPN di richiamare il modulo PAM. a questo punto, quindi, bisogner\u00e0 dire a PAM di utilizzare il modulo Google Authenticator.<\/p>\n\n\n\n
\n
cat >> \/etc\/pam.d\/openvpn << EOM\nauth    optional   pam_faildelay.so  delay=3000000\nauth    [success=1 default=ignore]      pam_unix.so nullok_secure\nauth    requisite                       pam_deny.so\nauth    required                        pam_permit.so\nauth    required pam_google_authenticator.so nullok\nEOM<\/code><\/pre>\n<\/blockquote>\n\n\n\n
<\/p>\n\n\n\n
Cos\u00ec abbiamo generato un file ‘openvpn’ all’interno di \/etc\/pam.d\/ con tutte le info necessarie ad avviare Google Authenticator.<\/p>\n\n\n\n
In base a come vengono generati i codici di Google Authenticator potrebbe essere necessario aggiungere alcune informazioni al file \/etc\/pam.d\/openvpn; ad esempio nell’ultima riga:<\/p>\n\n\n\n
auth    required \/usr\/lib\/x86_64-linux-gnu\/security\/pam_google_authenticator.so secret=\/home\/${USER}\/.google_authenticator user=root nullok<\/code><\/pre>\n\n\n\n
Dove abbiamo ribadito il path assoluto del modulo google_authenticator ed abbiamo insegnato dove andare a trovare la corrispondente chiave di google, ossia all’interno della home dell’utente.
L’opzione nullok alla fine della riga significa che se ancora non \u00e8 stato creato un qrcode per l’utente, questo accede ugualmente. 
Per motivi di sicurezza, alla fine della preparazione degli utenti, sarebbe opportuno rimuoverla.<\/p>\n\n\n\n
Quello che manca, a questo punto, \u00e8<\/p>\n\n\n\n
    \n
  • Creare Utente di sistema con Password<\/li>\n<\/ul>\n\n\n\n
      \n
    1. <\/li>\n<\/ol>\n\n\n\n
      useradd utente<\/code><\/pre>\n\n\n\n
        \n
      • <\/li>\n<\/ul>\n\n\n\n
          \n
        • Creare e firmare il Certificato corrispondente per l’utente creato<\/li>\n<\/ul>\n\n\n\n
          .\/easyrsa gen-req utente nopass\n.\/easyrsa sign-req client utente<\/code><\/pre>\n\n\n\n
            \n
          • Scaricare sul telefonino l’app Google Authenticator da ‘google play’ o ‘apple store’<\/li>\n<\/ul>\n\n\n\n
              \n
            • Generare il codice di Google Authenticator dell’utente creato<\/li>\n<\/ul>\n\n\n\n
              su - utente\ngoogle-authenticator<\/code><\/pre>\n\n\n\n
                \n
              • Inquadrare il qrcode generato da google authenticator; si creer\u00e0 un OTP riservato al Server OpenVPN<\/li>\n<\/ul>\n\n\n\n
                  \n
                • <\/li>\n<\/ul>\n\n\n\n
                    \n
                  • <\/li>\n<\/ul>\n\n\n\n
                      \n
                    • Creare il flie Client di OpenVPN, tipicamente, per Windows ‘utente.ovpn’ con le varie opzioni, che non \u00e8 questo il luogo per trattare, ma rimandiamo al solito forum della Community di OpenVPN. In aggiunta ad esse le seguenti righe:<\/li>\n<\/ul>\n\n\n\n
                      reneg-sec 0\nauth-user-pass\nstatic-challenge \"Codice Google Authenticator\" 1<\/code><\/pre>\n\n\n\n
                      Cos\u00ec, avviando la VPN verranno richiesti:<\/p>\n\n\n\n
                      Nome Utente\nPassword\n\nCodice Google Authenticator\nRisposta:<\/code><\/pre>\n\n\n\n
                      Se tutto \u00e8 stato correttamente configurato il Server accetter\u00e0 la chiamata.<\/p>\n\n\n\n
                      Una ultima considerazione \u00e8 d’obbligo:
                      Perch\u00e8 tutto funzioni correttamente l’ora del Server DEVE essere esatta, quindi consigliamo di sincronizzarla con qualche Server NTP.<\/p>\n\n\n\n
                      \n\n\n\n
                      Supplemento 1.<\/p>\n\n\n\n
                      Nel caso in cui la VPN si aprisse anche con codici google sbagliati, o addirittura senza immettere alcun codice … niente panico semplicemente il modulo ‘pam_google_authenticator.so’ \u00e8 in grado di leggere il file ‘.google_authenticator’ generato al momento della creazione dei codici da parte dell’utente. Sar\u00e0 necessario copiare tale codice in una cartella leggibile. Ad esempio noi abbiamo copiato i codici google in una cartella denominata: \/var\/unencrypted-home\/ all’interno della quale ogni utente ha la propria cartella sotto cui copiamo i rispettivi file .google_authenticator.
                      A questo punto  \/etc\/pam.d\/openvpn dovr\u00e0 diventare:<\/p>\n\n\n\n
                      auth    optional   pam_faildelay.so  delay=3000000\nauth    [success=1 default=ignore]      pam_unix.so nullok_secure\nauth    requisite                       pam_deny.so\nauth    required                        pam_permit.so\nauth    required   pam_google_authenticator.so secret=\/var\/unencrypted-home\/${USER}\/.google_authenticator user=root nullok<\/code><\/pre>\n\n\n\n
                      L’aggiunta merita una breve spiegazione: “secret=” indica a pam_google_authentiator dove andare a cercare il file di autenticazione ‘${USER}’ per ciascun user il proprio codice; ‘user=root’ \u00e8 l’utente con cui andiamo a leggere il contenuto del file; infine ‘nullok’ indica al ‘pam_google_authenticator.so’ di verificare la presenza del file .google_authenticator all’interno dalla cartella dell’utente. Nel caso non esistesse, di accettare ugualmente l’autenticazione senza il doppio fattore. Quest’ultimo punto, in particoalre, \u00e8 importante per aggiungere il doppio fattore a VPN gi\u00e0 implementata, a caldo, diciamo, concede il tempo di completare i lavori. Tuttavia, a fine lavori, per maggior sicurezza, sarebbe bene toglierlo.<\/p>\n","protected":false},"excerpt":{"rendered":"
                      Breve guida per rinforzare la sicurezza della Vostra Rete Informatica Virtuale (VPN) utilizzando Software Open Source, gratuito e modificabile a piacimento. Ambiente Server: Linux Ubuntu Server 22.04; OpenVPN 2.5.5; OpenSSL 3.0.2. Ambiente Client: Windows 10; OpenVPN GUI 11.15.0.0 Accessi Remoti all’epoca dello Smart Working Il lavoro da remoto e il c.d. smart working, sono stati […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"jetpack_post_was_ever_published":true,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[29,3,1],"tags":[18],"class_list":["post-1440","post","type-post","status-publish","format-standard","hentry","category-may-i-help-you","category-news","category-tutorial","tag-covid-19"],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"","jetpack_sharing_enabled":true,"jetpack_shortlink":"https:\/\/wp.me\/p9p8lv-ne","jetpack_likes_enabled":true,"_links":{"self":[{"href":"https:\/\/www.mc-data.it\/index.php?rest_route=\/wp\/v2\/posts\/1440","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mc-data.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mc-data.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mc-data.it\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mc-data.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1440"}],"version-history":[{"count":5,"href":"https:\/\/www.mc-data.it\/index.php?rest_route=\/wp\/v2\/posts\/1440\/revisions"}],"predecessor-version":[{"id":1455,"href":"https:\/\/www.mc-data.it\/index.php?rest_route=\/wp\/v2\/posts\/1440\/revisions\/1455"}],"wp:attachment":[{"href":"https:\/\/www.mc-data.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1440"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mc-data.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1440"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mc-data.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1440"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}