OpenVPN

OpenVPN; software
	Logo
Genere	Sicurezza informatica
Sviluppatore	James Yonan
Data prima versione	23 marzo 2002
Ultima versione	2.6.14 (2 aprile 2025)
Sistema operativo	Multipiattaforma
Linguaggio	C
Licenza	GNU General Public License; (licenza libera)
Sito web	openvpn.net

OpenVPN è un programma VPN scritto da James Yonan e rilasciato con licenza GPL. OpenVPN è quindi un software opensource e il fatto di essere tale garantisce a tale sistema di poterlo configurare su qualunque porta (senza usare il port-forwarding), essere la soluzione più sicura e anche la più affidabile. Un esempio per poter essere configurato senza il port-forwarding per poter soddisfare le richieste http attraverso il protocollo SSL (Secure Sockets Layer) possiamo utilizzare la porta TCP 443. È usato per creare tunnel crittografati punto-punto fra i computer host. Permette agli host di autenticarsi l'uno con l'altro per mezzo di chiavi private condivise, certificati digitali o credenziali utente/password. Usa in modo massiccio le librerie di cifratura OpenSSL e usa il protocollo SSLv3/TLSv1. È disponibile su GNU/Linux, xBSD, macOS, Solaris e Windows 2000/XP/Vista/7. Offre un ricco insieme di caratteristiche per il controllo e la sicurezza. Non è una VPN con interfaccia web, e non è compatibile con IPsec o altri programmi VPN. L'intero programma è un singolo eseguibile binario usato per le connessioni sia dal lato server che dal lato client, da un file di configurazione opzionale, e da uno o più file contenenti le chiavi, in funzione del metodo di autenticazione usato. Ai giorni d’oggi in pochissimi riescono a violare l’OpenVPN. L’enorme vantaggio di OpenVPN rispetto ad IPsec è che quest’ultimo risulta essere meno veloce e per le per quelle macchine o quei dispositivi che hanno poca potenza di calcolo è un enorme svantaggio. La mancanza di velocità da parte di queste macchine e dispositivi è l’assenza del multithreading. SSTP (Secure Socket Tunneling Protocol) utilizza (come OpenVPN) la crittografia SSLv3 ma rispetto ad OpenVPN il protocollo SSTP è un protocollo chiuso e questo è un grosso svantaggio.

Crittografia

OpenVPN usa le librerie OpenSSL per la cifratura sia del canale dati che del canale di controllo. Fa eseguire a OpenSSL tutto il lavoro di cifratura e autenticazione, permettendo a OpenVPN di scegliere fra tutti gli algoritmi di cifratura disponibili nel pacchetto OpenSSL. Il supporto per mbed TLS è disponibile a partire dalla versione 2.3. Può usare l'accelerazione hardware per avere migliori prestazioni nella cifratura.

Autenticazione

OpenVPN permette ai computer diversi metodi di autenticarsi l'uno con l'altro:

chiave segreta condivisa
certificati digitali
credenziali utente/password.

Il metodo con chiave segreta condivisa è il più semplice e immediato da implementare, quello basato sui certificati è il più robusto e completo ma richiede la definizione di una Public Key Infrastructure (PKI). L'autenticazione con utente/password è una caratteristica nuova introdotta con la versione 2.0 e si può usare con o senza il certificato del client (il server deve comunque avere il proprio certificato). Il pacchetto tar del codice sorgente include uno script perl per verificare le credenziali utente/password per mezzo dei moduli PAM e dei plugin in C auth-pam.

Rete

OpenVPN concentra tutto il traffico dati e di controllo su una singola porta. Può usare una porta UDP (preferita e predefinita) oppure TCP. Può funzionare attraverso la maggior parte dei server proxy (HTTP incluso) e non ha problemi ad integrarsi col NAT. Il server può "inviare" alcune opzioni di configurazione di rete ai client. Fra queste, l'indirizzo IP, gli instradamenti, e alcune opzioni di connessione.

OpenVPN offre due tipi di interfaccia di rete avvalendosi del driver Universal TUN/TAP; può creare sia tunnel IP punto-punto al livello 3 dello stack OSI (configurazione routing), come anche interfacce Ethernet virtuali "tap" a livello 2 sulle quali veicolare l'intero traffico Ethernet, broadcast inclusi (configurazione bridging). OpenVPN può anche usare, come opzione, la libreria di compressione LZO per comprimere il flusso di dati.

IANA ha assegnato ufficialmente la porta 1194 a OpenVPN, e le versioni più recenti del programma ora la usano come predefinita. La versione 2.0 permette ad un processo di gestire più tunnel contemporanei, superando la restrizione di "un tunnel per processo" della serie 1.x.

L’utilizzo di comuni reti di protocolli da parte di OpenVPN lo rende un’alternativa valida all’IPsec nelle situazioni in cui un ISP potrebbe bloccare specifici protocolli VPN con lo scopo di forzare gli utenti ad iscriversi ad un “business grade” più costoso. Quando OpenVPN utilizza il protocollo TCP porta allo stabilimento di un tunnel, il risultato sarà accettabile solo fino a quando è presente sufficiente larghezza di banda nel link della rete non tunnelizzata al fine di garantire che i timers del TCP tunnelizzato non scadano. Se questo non avviene, la performance fallisce. Questo è noto come il “TCP meltdown problem”.

Sicurezza

OpenVPN offre diverse caratteristiche di sicurezza interne: può rilasciare i privilegi di root (non disponibile su Microsoft Windows), può usare mlockall per evitare che dati sensibili siano paginati nella memoria virtuale su disco, e può essere costretto ad una chroot jail (non disponibile su Microsoft Windows) dopo l'inizializzazione.

Inoltre è disponibile anche la funzione di autenticazione di singolo pacchetto HMAC per aggiungere un ulteriore livello di sicurezza alla fase in cui viene instaurata la connessione (definito "HMAC Firewall" dall'autore); in questo caso ogni pacchetto che non presentasse la firma HMAC prestabilita verrebbe semplicemente scartato senza essere elaborato, il che permette di difendere l'host da:

attacchi di tipo DoS (Denial of Service)
tentativi di Port scanning
vulnerabilità di buffer overflow nelle librerie SSL/TLS
richieste di connessione da macchine non autorizzate.

Infine, configurando i client per accettare solo certificati di tipo server dalla macchina che richiede una connessione, può evitare attacchi del genere Man in the middle.

Conclusioni

Arrivati a questo punto che conclusioni possiamo trarre? Quale tipo di VPN è migliore? Non esiste una risposta corretta. Sicuramente OpenVPN racchiude tutte le caratteristiche cercate in un VPN e inoltre ha molti vantaggi tra cui sicurezza e velocità che sono due aspetti importantissimi. Lo svantaggio di OpenVPN rispetto ad altri è la difficoltà di utilizzo e di installazione sul proprio sistema operativo. Come si può notare è un piccolissimo svantaggio rispetto a tutti i lati positivi che OpenVPN fornisce.