Jou VPN-sleutel is vir almal leesbaar: wat om reg te maak

Die eerste teken is gewoonlik 'n waarskuwing, nie 'n onderbreking nie. 'n Kliënt weier om 'n sleutel te laai omdat die lêer deur die groep of almal leesbaar is, of 'n sekuriteitsoudit vind client.key met modus 644 in 'n profielgids wat ook uitgevoerde bondels bevat. Niks het nog gefaal nie, en juis daarom word die waarskuwing afgemaak. Die sleutel werk, die tonnel kom op, en die lêer is deur elke rekening op die masjien leesbaar.

Die simptoom is 'n toestemmingswaarskuwing, nie 'n onderbreking nie

Op 'n Unix-agtige stelsel moet 'n privaatsleutel leesbaar wees vir die rekening wat die diens bestuur, en vir niemand anders nie. 'n Modus van 600 met die regte eienaar is die gewone reëling. 'n Modus van 644 beteken elke plaaslike gebruiker kan die sleutel kopieer, en op 'n gedeelde bougas is dit 'n werklike gehoor.

Kliënte wat dit nagaan, doen jou 'n guns. Dié wat dit nie doen nie, is geen bewys dat die lêer veilig is nie, en 'n suksesvolle verbinding sê niks oor wie anders die materiaal kan lees wat dit moontlik gemaak het nie. Behandel die waarskuwing as die hele bevinding. Dit is akkuraat, en dit het gekom voordat iemand die lêer gekopieer het.

Pas die modus by die diensidentiteit aan

Toegang net vir die eienaar pas by 'n sleutel wat daardie eienaar gebruik. 'n Diens met 'n doelbewuste gedeelde groep het dalk 'n ander beheerde reëling nodig, soos groeplees op 'n sleutel wat deur 'n diensrekening besit word. Om elke lêer blindelings op een numeriese modus te sit, breek ondersteunde kliënte, en chmod -R 777 is nie 'n oplossing vir enigiets nie.

Kontroleer die eienaar en die diensrekening voordat jy iets verander. Openbare CA-sertifikate en private identiteitsleutels het verskillende geheimhoudingsvereistes, selfs wanneer hulle in dieselfde gids sit, so 'n rekursiewe modus op die hele vouer behandel die twee as dieselfde voorwerp.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Op ander platforms, gebruik die gedokumenteerde sleutelstoor of toegangsbeheermodel eerder as om Unix-modusse in 'n raaiskoot te vertaal. 'n Lêernaam wat op private eindig, is 'n etiket, nie 'n afdwingmeganisme nie.

Vind die kopieë wat die modus nie dek nie

Redigeerders, rugsteurags, uitgevoerde profiele en tydelike bondels kan elkeen dieselfde identiteit behou. Beskerm daardie kopieë volgens hul inhoud, want om die oorspronklike lêer toe te draai, doen niks vir dié in verlede maand se tar-lêer nie.

'n Wagfrase op 'n sleutellêer is nuttig vir gestoorde materiaal en regverdig nie die publikasie van die versleutelde lêer langs sy wagwoord nie. Toestemmings beskerm die huidige lêerstelselvoorwerp; hulle sê niks oor 'n geloofsbrief wat reeds elders gekopieer is nie.

Soek die kopieë voordat jy die taak as voltrek verklaar: grep -rl vir die sleutel se kopreël in waarskynlike gidse, en 'n kyk na rugsteuuitsluitings. Die resultaat is gewoonlik interessanter as die lêer waarmee jy begin het.

Ná die regstelling: verifieer en roteer

Toets dat die beoogde diens nog steeds verifieer, en bevestig dan dat geen onnodige rekening toegang gekry het nie. Beperk diagnostiese uitvoer tot metadata, want die druk van die sleutel is nie nodig om te bewys die lêer kan gelees word nie en dit plaas die materiaal in 'n logboek.

As die sleutel blootgelê is, draai die modus toe en vervang dan die geloofsbrief en herroep die oue. Die POSIX chmod-spesifikasie verduidelik wat elke modusbis beteken, wat die moeite werd is om te weet voordat die volgende oudit jou vra om die nommer te regverdig wat jy gekies het.