Soekreg op elke gids voordat die sleutel

Modus 0600 en die regte eienaar waarborg nie dat die diens 'n sleutel kan oopmaak nie. Die ontbrekende toestemming is gewoonlik op 'n gids bokant dit. Linux los 'n pad een komponent op 'n slag op, en elke stap vereis soektoestemming voordat die volgende probeer word. Lees die hele pad, nie die laaste reël van die lys nie.

Leestoestemming is die laaste stap, nie die enigste nie

Om 'n lêer oop te maak, vereis dat die kern van die wortel of die werkende gids deur elke komponent van die pad stap. 'n Gids sonder soektoestemming stop daardie stap met 'n toestemmingsfout. Die lêer se eie modus word nooit geraadpleeg nie, so 'n heeltemal leesbare sleutel lyk onleesbaar. Die fout kom dikwels by oopmaak sonder om die gids te noem, en daarom word die finale lêer geblameer.

Vir 'n gids beteken die uitvoerbit soek, nie voer-die-inhoud-uit nie. 'n Sleutel bly data, en geen deel van hierdie herstelling vereis dat dit uitvoerbaar gemerk word nie.

Stap die pad as die diensrekening

Lys elke komponent met sy eienaar en modus, en herhaal dan die lees as die werklike diensidentiteit. Die verskil tussen jou dop en die daemon is dikwels die hele antwoord. Volg simboliese skakels na die werklike teiken, want die opgeloste pad is wat nagegaan word.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

'n Diens kan ook lêers in meer as een fase oopmaak. Sommige materiaal word tydens bevoorregte opstelling gelees, terwyl ander lêers oopgemaak word nadat voorregte laat val is. 'n Worteldop wat die lêer lees, reproduseer nie die latere werker se toegang nie. 'n Monteringnaamruimte kan 'n ander siening van dieselfde pad bied, veral binne 'n houer, so vergelyk die daemon se lêerstelselsiening met joune.

Verander die nouste toestemming wat pas

Kies die kleinste reëling wat die proses toegang gee: 'n beheerde groep met soek op die nodige gidse, 'n bestuurde plek wat die diens reeds besit, of 'n ander gedokumenteerde meganisme. Om 'n lêer te lees vereis nie skryftoestemming op sy gids nie. Breë groepskryftoestemming op bevoorregte konfigurasie is nie 'n normale traverseringsherstel nie. Rekursiewe 0777 is ook nie 'n oplossing nie.

Teken aan watter komponent jy verander het en waarom. 'n Toestemmingsverandering sonder 'n aangetekende rede is moeilik om na te gaan en maklik om te vergeet.

Kyk verby modusse eers ná die stap

As die modusbisse voldoende lyk, is die oorblywende kontroles ACL's, sekuriteitsbeleid en sandboxbeperkings. 'n ACL kan toegang verleen wat die modusbisse aandui as afwesig, of toegang weier wat hulle skynbaar toelaat. Daardie instellings behoort aan die bestaande konfigurasie-eienaar, en hulle moet noukeurig aangepas word eerder as om heeltemal afgeskakel te word. 'n Wortel- of werkende-gids-verskil kan ook 'n absolute pad verklaar wat in een konteks werk en in 'n ander misluk.

Moenie die spoor kwytraak van wat die lêer is terwyl jy toegang regmaak nie. 'n CA-sertifikaat is ontwerp as publiek; 'n private sleutel is nie. Lêers wat die kliënt herskryf, het ook ander skryfregte nodig as 'n identiteitsleutel wat net-lees is. Inspekteer metadata sonder om geheime te druk, en bevestig dan dat die diens self werk ná die verandering. 'n Kort nota in die diensdokumentasie spaar die volgende persoon dieselfde stap.