OpenVPN: architettura VPN basata su TLS

OpenVPN usa due canali separati: il canale di controllo e il canale dati. Il canale di controllo gestisce l'autenticazione, la creazione della sessione e lo scambio della configurazione tramite TLS. Il canale dati trasporta il traffico VPN effettivo, cifrato con un cifrario simmetrico negoziato attraverso il canale di controllo. Questa separazione consente a OpenVPN di sfruttare l'intero ecosistema TLS per la gestione delle chiavi.

Il canale di controllo di OpenVPN esegue una sessione TLS completa. Entrambi i lati si autenticano usando certificati X.509 firmati da una CA condivisa. TLS fornisce lo scambio delle chiavi, la convalida dei certificati e la negoziazione dei parametri del cifrario del canale dati. Poiché TLS supporta ECDHE, il canale di controllo garantisce la segretezza in avanti perfetta: le chiavi del canale dati non possono essere recuperate da una sessione acquisita, nemmeno disponendo della chiave della CA.

La cifratura del canale dati viene negoziata tramite il canale di controllo TLS. OpenVPN 2.4 e versioni successive usano per impostazione predefinita AES-256-GCM, un cifrario AEAD che fornisce riservatezza e integrità in un'unica operazione. Le versioni precedenti usavano AES-256-CBC con HMAC-SHA256 separatamente. Le modalità AEAD sono preferite perché eliminano la necessità di una verifica MAC separata e contrastano gli attacchi con oracolo di padding.

L'opzione tls-crypt racchiude l'intera sessione TLS, incluso il client hello, all'interno di un involucro simmetrico autenticato con HMAC usando una chiave precondivisa. Ciò significa che i client non autenticati non possono nemmeno avviare un handshake TLS; i loro pacchetti iniziali vengono scartati silenziosamente. In questo modo il server OpenVPN è protetto dagli attacchi DDoS con amplificazione basati su TLS e viene nascosta la presenza di un server VPN.

L'opzione precedente tls-auth aggiunge un tag HMAC ai pacchetti del canale di controllo TLS, ma non li cifra. Questo impedisce l'iniezione di pacchetti, ma continua a rivelare l'handshake TLS agli osservatori. tls-crypt cifra e autentica l'involucro del canale di controllo, fornendo sia protezione dagli attacchi DoS sia resistenza all'analisi del traffico. tls-crypt è l'opzione moderna consigliata; tls-auth è deprecata a favore di tls-crypt-v2.

OpenVPN autentica i client usando certificati X.509 firmati dall'Autorità di certificazione della VPN. Ogni client riceve un certificato univoco e una chiave privata. Il server verifica la catena di certificati e può inoltre controllare una Certificate Revocation List (CRL) per rifiutare i certificati revocati. La revoca di un certificato rimuove immediatamente l'accesso del client, a differenza dei sistemi basati su PSK, nei quali la modifica di una chiave influisce su tutti i client.

OpenVPN può funzionare su UDP (impostazione predefinita e consigliata) o TCP. UDP evita il problema TCP-over-TCP, in cui la perdita di pacchetti causa ritrasmissioni duplicate sia a livello TCP sia a livello dell'applicazione VPN, degradando notevolmente le prestazioni. Tuttavia, alcune reti bloccano UDP. Eseguire OpenVPN sulla porta TCP 443 può aggirare i firewall che consentono solo traffico HTTPS, a scapito delle prestazioni in condizioni di perdita di pacchetti.

OpenVPN opera in modalità tun (routing) o tap (bridging). La modalità tun crea un'interfaccia di rete IP punto-punto che instrada i pacchetti IP tra il client e la rete VPN. La modalità tap crea un'interfaccia bridge Ethernet che trasmette frame Ethernet, inclusi broadcast e protocolli non IP. La modalità tun è più efficiente e adatta alla maggior parte dei casi d'uso VPN; la modalità tap è necessaria per collegare segmenti di rete o usare protocolli non IP.

I server OpenVPN possono inviare automaticamente direttive di configurazione ai client che si connettono. Tra le direttive push comuni vi sono push "route 10.0.0.0 255.0.0.0" (aggiunge una route sul client), push "dhcp-option DNS 10.0.0.1" (imposta il server DNS) e push "redirect-gateway def1" (instrada tutto il traffico del client attraverso la VPN). In questo modo la gestione della configurazione dei client viene centralizzata senza modificare i singoli file di configurazione dei client.

OpenVPN ottiene la segretezza in avanti perfetta tramite TLS ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) nel canale di controllo. Per ogni sessione TLS viene utilizzata una nuova coppia di chiavi effimere, quindi la chiave di sessione non può essere derivata dalla chiave privata del certificato a lungo termine del server. Anche acquisendo oggi traffico cifrato e ottenendo in seguito il certificato del server, non sarebbe possibile decifrare le sessioni passate.

OpenVPN 2.5 ha dichiarato obsoleto il cifrario Blowfish (BF-CBC), che in passato era quello predefinito. BF-CBC usa una dimensione del blocco di 64 bit, vulnerabile agli attacchi del compleanno SWEET32 nelle sessioni lunghe. Le versioni moderne di OpenVPN usano per impostazione predefinita AES-256-GCM. OpenVPN 2.5 ha inoltre dichiarato obsoleti i cifrari non AEAD nel canale dati e ha reso più rigorosi i requisiti sulla versione minima di TLS, rimuovendo il supporto per TLS 1.0 e 1.1.

Riepilogo di OpenVPN: il canale di controllo usa TLS per l'autenticazione e la negoziazione dei cifrari, il canale dati usa il cifrario AEAD negoziato (AES-256-GCM per impostazione predefinita), tls-crypt racchiude TLS per impedire handshake non autenticati, ECDHE garantisce la segretezza in avanti, l'autenticazione dei client basata su certificati supporta la revoca tramite CRL, UDP è preferito a TCP per le prestazioni e la modalità tun è preferita per i casi d'uso di routing IP.