Era dal 2018 che non mi toccava mettere mano al plugin per l’autenticazione a due fattori installato sulla mia DokuWiki (ne avevo parlato qui: DokuWiki: HTTPS (via Plesk) e autenticazione a due fattori).
Ha sempre funzionato correttamente nonostante le evoluzioni fatte dal software di Andreas Gohr.

Quando però ho lanciato l’installazione dell’aggiornamento rc2022-06-26 “Igor” RC2, sono stato sbattuto fuori senza riserve, senza possibilità di rientrare con il mio account. La colpa, si scoprirà solo dalla successiva analisi, è proprio del plugin 2Factor Google Authenticator Plugin di Andreas Boehler, aggiornato l’ultima volta nel 2017, non più mantenuto, funzionante ma alla deriva, evidentemente troppo lontano dalle novità introdotte per essere compatibile anche con quest’ultima versione di DokuWiki.

Ti spiego quindi come affrontare questa eventualità, riprendere possesso della tua installazione DokuWiki e infine passare a un plugin di 2FA aggiornato e mantenuto.

Riprendi possesso di DokuWiki

DokuWiki funziona dopo l’aggiornamento? Bene, è tutto ciò che ti serve sapere, chiaramente non riuscirai a entrare con il tuo account perché la tua autenticazione a due fattori ti impedirà di completare l’operazione (il campo di inserimento token di Google Authenticator neanche comparirà a video, inevitabile quindi rimanere fuori dalla porta). Ciò che devi fare è prima di tutto utilizzare un account amministrativo secondario, non protetto da autenticazione a due fattori.

Come dici? Un controsenso? Sono assolutamente d’accordo, è per questo motivo che quell’account non è mai esistito e toccherà a te farlo nascere dietro le quinte giusto il tempo necessario affinché tu possa entrare e disabilitare Google Authenticator sul tuo account principale, per poi cancellare l’utente di servizio immediatamente dopo.

Collegati via FTP al tuo spazio web dove vive l’installazione di DokuWiki. Spostati nella cartella conf e modifica il file users.auth.php. Dovrai semplicemente copiare e incollare questa stringa in fondo al file:

cancellami:$1$4fd0ad31$.cId7p1uxI4a.RcrH81On0:-:-:admin,user

Salva il file aggiornando quello presente sul tuo spazio FTP. A questo punto avrai appena creato un nuovo amministratore di DokuWiki con nome utente “cancellami” e password “admin“. Usa questo account per rientrare nell’area amministrativa della tua installazione DokuWiki e andare a disattivare il token associato al tuo reale account. Lo fai da Admin → Google 2Factor Token Manager. Ti basterà un clic sul pulsante Delete Secret in corrispondenza del tuo nome utente (quello vero, non il “cancellami“):

Così facendo, il tuo account sarà finalmente libero di poter essere riutilizzato. Effettua il Logout, torna dentro con il tuo account vero e spostati in Admin → User Manager, quindi cancella senza pensarci due volte l’utente “cancellami“.

Hai ripreso possesso della tua installazione DokuWiki, ora possiamo procedere con il cambio del plugin di autenticazione a due fattori! :-)

Disinstallare authg2fa

Prima di passare a un nuovo plugin di autenticazione a due fattori ti consiglio di fare piazza pulita del vecchio. Prima di procedere sarà certamente necessario tornare a una configurazione di autenticazione “plain“. Per farlo dovrai selezionare (nella console amministrativa) Configuration Settings → Authentication, quindi selezionare dal menu a discesa authplain:

Scorri la pagina delle impostazioni fino in fondo e fai clic sul pulsante Save per applicare la modifica. Verrai immediatamente buttato fuori dalla sessione e ti toccherà effettuare il login, poco male, è un’operazione rapida.

Tornato dentro dovrai spostarti nuovamente nella console amministrativa e selezionare Extension Manager, ora finalmente sarà possibile disinstallare Google 2Factor Token Manager, cosa che prima non sarebbe stata possibile perché impostato come metodo di autenticazione predefinito (non sarebbe proprio comparso il pulsante per effettuare l’Uninstall né tanto meno il Disable):

Disinstalla il plugin (dovrebbe così sparire la sua cartella sullo spazio FTP, lib/plugins/authg2fa).

Passare a un nuovo Google Authenticator Plugin

Ora che la situazione è nuovamente pulita, occorre riportare su DokuWiki la possibilità dell’autenticazione a due fattori. Ho scelto un plugin mantenuto e aggiornato, “Two Factor Authentication – Google Authenticator Plugin“, sviluppato da Anna Dabrowska e Michael Wilmes (c’è di mezzo anche lo stesso Andreas Gohr, un po’ più defilato dietro le quinte). Per poter procedere dovrai:

• installare un plugin di base (Core) e uno di attributi (Attribute Plugin).
• Installare il plugin che ti interessa in base al tipo di autenticazione preferita (io ho scelto quello “Google Authenticator” così da fare riferimento al solito TOTP generato randomicamente).

Andiamo con ordine. Usa ancora una volta l’Extension Manager nella tua console amministrativa, spostati in Search and Install e cerca attribute, ti compariranno una serie di risultati, ma a te interessa solo quello di CosmoCode:

A questo punto potrai portare a bordo la parte relativa all’autenticazione vera e propria. Due i plugin da installare, Two Factor Authentication – Core Plugin e Two Factor Authentication – Google Authenticator Plugin:

Una volta installati noterai la voce Two-Factor Settings nella barra utente (in alto nella finestra di DokuWiki) e Two-Factor Admin nell’area amministrativa della Wiki. La prima ti servirà per lanciare la configurazione del plugin per il singolo utente, la seconda ad amministrare gli utenti che hanno attivato l’autenticazione a due fattori. Vediamo rapidamente la prima perché è quella che ci interessa in questo momento.

Lanciando il setup affronterai il più classico dei percorsi che ti richiederà la scansione del codice QR e inserimento immediato del TOTP a verifica che tutto funzioni correttamente. Questo controllo verrà effettuato anche un paio di volte se necessario, la modifica è immediata e non sarà neanche necessario effettuare nuovamente il login! Ah, non ti affrettare a inquadrare il codice QR nelle immagini qui di seguito, appartiene a un utente di test ormai cancellato dalla DokuWiki che ho usato per scrivere questo articolo ;-)

Ora, andando a sbirciare la funzione dell’area amministrativa, noterai che l’utente che ha appena completato il percorso è in elenco (e in caso di necessità potrai lanciare un reset del suo metodo di autenticazione per permettergli di affrontare nuovamente il percorso in caso di necessità):

In caso di dubbi riguardo l’intera procedura descritta, l’area commenti è poco più sotto, usala! :-)

#StaySafe

Credits: plothost.com/kb/reset-dokuwiki-admin-password