Truedoc

h1. Abilitare la 2FA su Roundcube

Un requisito sempre più richiesto per aumentare la sicurezza delle applicazione web è quello di abilitare un sistema di 2FA (2 Factor Authentication) per gli accessi. Nel caso di Roundcube questo può essere ottenuto utilizzando una apposita estensione @twofactor_gauthenticator@. Non essendo questa pacchettizzata per Debian dovrà essere scaricata direttamente dal repository di sviluppo, e dovendo convivere con l'installazione di sistema utilizzeremo come directory di installazione @/usr/local/share/roundcube/plugins@ facendo poi riferimento al codice con un link simbolico, pertanto si esegua:

<pre>

mkdir /usr/local/share/roundcube/plugins -p

cd /usr/local/share/roundcube/plugins

git clone https://github.com/alexandregz/twofactor_gauthenticator.git

cd twofactor_gauthenticator/

git checkout 1.3.9-version

cd /var/lib/roundcube/plugins/

ln -s /usr/local/share/roundcube/plugins/twofactor_gauthenticator twofactor_gauthenticator

</pre>

e si aggiunga alla lista dei plugin in @/etc/roundcube/config.inc.php@:

<pre>

$config['plugins'] = array(

...

'twofactor_gauthenticator',

);

</pre>

Si tenga presente che una volta attivato per un utente l'uso della 2FA questo non potrà tornare indietro senza collegarsi, ed anche se esiste la possibilità di salvare il QR code ed i codici di accesso di emergenza, qualora questi non fossero disponibili l'unica possibilità di tornare indietro sarebbe quella di cambiare l'impostazione a mano (o recuperare i dati) sul database. Nel caso sia necessario farlo le operazioni sono analoghe alle seguenti (si assume l'uso di MariaDB):

<pre>

MariaDB [(none)]> use roundcube

MariaDB [roundcube]> select preferences from users where username like "%username%";

.... -------+

| a:4:{s:6:"layout";s:7:"desktop";s:17:"message_threading";a:1:{s:5:"INBOX";b:1;}s:11:"client_hash";s:32:"2c4ad98596430d8ec9d719d0698f0f6c";s:24:"twofactor_gauthenticator";a:3:{s:6:"secret";s:16:"WCBZ4ORVXB6OKGDP";s:8:"activate";b:1;s:14:"recovery_codes";a:4:{i:0;s:10:"L3FVVT4CCM";i:1;s:10:"VTFVLZEGUX";i:2;s:10:"V23JITINMW";i:3;s:10:"E3MZV34VXB";}}} |

+--------- ...

MariaDB [roundcube]>  update users set preferences='a:4:{s:6:"layout";s:7:"desktop";s:17:"message_threading";a:1:{s:5:"INBOX";b:1;}s:11:"client_hash";s:32:"2c4ad98596430d8ec9d719d0698f0f6c";s:24:"twofactor_gauthenticator";a:3:{s:6:"secret";s:16:"WCBZ4ORVXB6OKGDP";s:8:"activate";b:0;s:14:"recovery_codes";a:4:{i:0;s:10:"L3FVVT4CCM";i:1;s:10:"VTFVLZEGUX";i:2;s:10:"V23JITINMW";i:3;s:10:"E3MZV34VXB";}}}

</pre>

in cui cioè nella stringa delle preferenze si cambia, nella parte riguardante @twofactor_gauthenticator@, la stringa @s:8:"activate";b:1@ in @s:8:"activate";b:0@.

Qualora si voglia rendere obbligatorio per tutti l'uso della 2FA, occorrerà aggiungere a @/etc/roundcube/config.inc.php@ l'ulteriore configurazione:

<pre>

// Added for twofactor_gauthenticator

$config['force_enrollment_users'] = true;

</pre>