FpSense + OpenVPN + OTP (Google Authenticator)

astartusfi

Moin zusammen,
als pfSense "Neuling" suche ich nach einer Möglichkeit im OpenVPN-Server oder auch im RADIUS-Modul den Google Authenticator einzubinden. Leider gibt's dazu meist nur unvollständige oder nicht wirklich sinnvolle Posts im Netz, weshalb ich einfach mal hier fragen wollte, ob das einer von euch bereits mal zum Laufen bekommen hat.

Ich habe derzeit ein pfSense + OpenVPN + Microsoft AD Konstrukt am laufen, jedoch ist mir Zertifikat-und-Benutzername/Passwort zu wenig Sicherheit. Gibt es überhaupt konkrete Ansätze um pfSense + OpenVPN + Microsoft AD mit "OTP" zu erweitern?

JeGr

Hallo astartusfi,

zuerst einmal: das wird sehr wahrscheinlich nicht funktionieren. Google Authenticator nutzt TOTP als Verfahren, Radius o.ä. mit OpenVPN verwendet aber M-OTP als Verfahren für Einmalpasswörter. Du bräuchtest also eine andere App dafür bzw. einen anderen Generator.

Zum anderen:

jedoch ist mir Zertifikat-und-Benutzername/Passwort zu wenig Sicherheit

Das überrascht mich dann doch, denn wieviel Sicherheit möchtest du denn bei einer VPN Einwahl noch!? Du hast mit der maximalen Stufe von OpenVPN unter pfSense ja bereits 3(!) Faktoren (nicht nur 2) die alle getrennt voneinander gegeben sein müssen:

Session Key
User + Passwort
Zertifikat des Users (sinnvollerweise mit CN=username matching)

Alle 3 Faktoren müssen vorhanden sein, um die Einwahl vorzunehmen. Und selbst dann - sollte jemand aus doofen Gründen komplett das gesamte Paket verlieren - ist es noch möglich, problemlos das Zertifikat per CRL zurückzuziehen und den User zu disablen (im Radius). Da frage ich mich schon, wieviel Sicherheit du noch erkaufen möchtest mit wieviel zusätzlichen Faktoren? Denn wenn du davon ausgehst, dass alle einzelnen Daten wie Konfiguration, TLS Key, Zertifikat, Username + Passwort jemand anderem in die Hände fallen können, was hält den dann davon ab, dein OTP zu klauen (sprich die App oder die Einstellungen)?

Grüße