С удивлением обнаружил что в openvpn нет возможности для запроса имени-пользователя пароля вызвать скрипт. В файл имя и пароль записать можно, а вот почему-то ни возможности позвать ssh-askpass, ни воспользоваться secret service API для более безопасного хранения паролей, пассфраз к сертификатам и пин-кодов к токенам - не предусморено.
Система плагинов по-моему эту задачу тоже не решает. Во всяком случае все найденные мной плагины были скорее про проверку аутенификации на стороне сервера, чем про предоставление аутентификационных данных на стороне клиента. Интересно, это я что-то упустил, или авторы openvpn?