Esto puede ser útil para alguien que esté usando una VPN en un cibercafé donde alguien podría haber instalado un registrador de claves. De esta forma, aunque hayan grabado la contraseña, no funcionará la próxima vez.
Respuesta1
He utilizado una configuración de OpenVPN que tenía una fase de nombre de usuario/contraseña para autenticar al usuario real, y lo respaldó contra PAM. Lamentablemente, no tengo los archivos de configuración de esa instalación, pero cualquier cosa que funcione contra PAM puede aprovechar cualquier módulo PAM, y los módulos PAM tienen todo tipo de soporte único, y mejor.
Para contraseñas simples de un solo uso,este tipoescribe sobre el uso de OPIE bajo PAM, siendo OPIE (como S/KEY) una de las antiguas soluciones OTP (contraseña de un solo uso) desde hace mucho tiempo (divagándose ligeramente, recuerdo haber impreso una hoja de 20 contraseñas de OPIE para llevar a un conferencia en 1995, y estoy seguro de que otros tendrán recuerdos incluso anteriores de ella). Puede que sea viejo, pero todavía es sólido, y ahora hay una gran cantidad de generadores de software OPIE que puedes usar si no te gusta cargar con el pedazo de papel. El artículo anterior hace referencia a una aplicación para iPhone, pero estoy seguro de que hay otras.
Sin embargo, ¿por qué detenerse ahí? Una vez que haya conectado PAM al motor de autenticación, podrá volverse bastante barroco y cada vez más seguro.
este tipotiene un módulo PAM que envía un token vía SMS que debe ingresarse, por lo que podría usar su teléfono GSM como parte de una solución de dos factores.
Yo mismo he usado un Yubikey, que es un pequeño generador OTP con interfaz USB, con PAM, por lo que podrías llegar hasta una solución de hardware dedicada si quisieras (todo el código está certificado por GPL). Lo uso para controlar el acceso ssh y sudo, pero debido a que se realiza a través de PAM, podría conectarse fácilmente a la fase de autenticación de usuario de OpenVPN.
Con suerte, esto aclara que esto definitivamente es posible en teoría y le brinda algunas ideas. Lamento no tener una configuración OpenVPN+PAM que funcione para agregar, peroeste artículo de openvpn.netparece cubrirlo con cierto detalle.