Implementazione avanzata del token di autenticazione a doppio fattore con certificati X.509 per API Linux: guida esperta passo dopo passo

1. Generazione CA:

   openssl req -x509 -newkey rsa:4096 -keyout ca_key.pem -out ca_cert.pem -days 3650 -nodes -subj “/CN=API-Trust-CA/OU=Certificati/OU=CA”

   Questo comando crea una chiave privata (4096 bit, RSA) e un certificato auto-firmato CA validabile per 10 anni.

2. Creazione certificato server:

   openssl req -newkey rsa:4096 -key out/server_key.pem -out server_cert.csr -nodes -subj “/CN=api.linux.example.it”
   openssl x509 -req -in server_cert.csr -CA ca_cert.pem -CAkey ca_key.pem -CAcreateserial -out server_cert.pem -days 3650 -sha256

3. Generazione certificato client:

   openssl req -newkey rsa:4096 -key out/client_key.pem -out client_csr.csr -nodes -subj “/CN=api-client-udp@prod”
   openssl x509 -req -in client_csr.csr -CA ca_cert.pem -CAkey ca_key.pem -CAcreateserial -out client_cert.pem -days 3650 -sha256

4. Distribuzione sicura:
   Utilizzare `ssh` con chiavi RSA 4096 generati con `ssh-keygen -t rsa -b 4096 -C “chiave_client_linux”` e policy di accesso `600` su `/root/.ssh` con `chmod 700`.

L’utilizzo di chiavi a 4096 bit garantisce crittografia robusta; la CA interna consente revoca immediata e controllo centralizzato, essenziale per compliance stringenti.

1. Configurazione FastAPI:
   Include middleware per estrazione e verifica certificato client e JWT:

   from fastapi.security import OAuth2PasswordBearer
   from jose import JWTError, jwt
   from fastapi import Depends, HTTPException, status
   import openssl

   oauth2_scheme = OAuth2PasswordBearer(tokenUrl=”auth/login”)
   SECRET_KEY = “chiave_segreta_32_byte_generata_alvolo”;
   ALGORITHM = “HS256”
   OE = {“name”: “API Client”, “iss”: “api.linux.example.it”, “aud”: “api.example.it”}
   def verify_cert(pem_cert: bytes) -> dict:
   try:
   cert = openssl.x509.load_pem_x509_certificate(pem_cert)
   if not cert.get_notBefore() <= datetime.utcnow() <= cert.get_NotAfter():
   raise HTTPException(status_code=403, detail=”Certificato scaduto”)
   if not openssl.cert.verify_certificate(cert, pem_public_key, pem_cert):
   raise HTTPException(status_code=403, detail=”Certificato non valido o revocato”)
   return {“client_id”: cert.get_subject().CN, “issued_at”: cert.get_notBefore(), “exp_valid”: (cert.get_NotAfter() > datetime.utcnow())}
   except Exception as e:
   raise HTTPException(status_code=403, detail=f”Errore validazione certificato: {str(e)}”)
   def authenticate_user(username: str, password: str, cert_pem: bytes):
   # Simulazione di verifica username/password
   if username != “user_prod” or password != “pass_prod”:
   return None
   return verify_cert(cert_pem)
   async def get_current_user(token: str = Depends(oauth2_scheme)) -> dict:
   try:
   claims = verify_cert(token)
   return claims
   except JWTError:
   raise HTTPException(status_code=403, detail=”Token JWT non valido o revocato”)

Il middleware estrae il certificato dal header, valida la firma con la CA, verifica scadenza e catena, e genera token JWT firmato con claim certificati.

Errori critici da monitorare:

• Certificato scaduto: Triggerato se `cert.get_NotAfter() < now()`; richiede revoca immediata via CRL o OCSP.
• Mancata catena di fiducia: Se il certificato client non include CA root o intermedi nella catena, l’autenticazione fallisce.
• Revoca non rilevata: Senza OCSP o CRL dinamico, certificati revocati rimangono validi.

1. Log strutturato Systemd journal:

   journalctl -u api-linux | grep -i “2FA” | grep -E “errore|revoca|catena”

   Il formato JSON facilita il tracciamento automatico in SIEM.

2. Tracciamento rete: Correlare errori con traccia di chiamata API tramite `request_id` nel payload JWT.

Utilizzare strumenti come `openssl x509 -noout -text -verify -CAfile ca_cert.pem cert.pem` per audit certificati in produzione.

• Caching chiavi pubbliche: Cache in memoria o Redis per evitare ricarichi frequenti durante validazione certificati.
• Rate limiting e blocco temporaneo: Limitare a 5 tentativi 2FA/ora per IP, con blocco temporaneo via database Redis con TTL.
• Revoca dinamica con OCSP: Integrazione OCSP stapling per verifica in tempo reale senza richieste esterne.
• Rotazione certificati automatizzata: Script cron o HashiCorp Vault con certificati auto-rilasciati ogni 6 mesi, deployment zero-downtime con rolling update.

La combinazione di certificati gestiti dinamicamente, middleware performante e monitoraggio integrato riduce il rischio di frode e aumenta la resilienza operativa.