صلاحية البحث في كل مجلد قبل المفتاح

لا يضمن الوضع 0600 والمالك الصحيح أن الخدمة تستطيع فتح المفتاح. الصلاحية الناقصة تكون عادةً على مجلد يعلوه. يحل لينكس المسار مكوّناً واحداً في كل مرة، وكل خطوة تحتاج صلاحية بحث قبل تجربة التالية. اقرأ المسار كله، لا السطر الأخير من القائمة.

صلاحية القراءة هي الخطوة الأخيرة، وليست الوحيدة

فتح ملف يتطلب أن يجتاز النواة من الجذر أو دليل العمل عبر كل مكوّن في المسار. مجلد بدون صلاحية بحث يوقف هذا الاجتياز بخطأ صلاحية. لا يُستشار وضع الملف نفسه أبداً، فيبدو مفتاح قابل للقراءة تماماً غير قابل للقراءة. غالباً ما يصل الخطأ وقت الفتح دون تسمية المجلد، ولهذا يُلام الملف الأخير.

بالنسبة للمجلد، تعني بتة التنفيذ البحث، لا تنفيذ المحتويات. يبقى المفتاح بيانات، ولا يتطلب أي جزء من هذا الإصلاح تعليمه كملف تنفيذي.

اجتز المسار بحساب الخدمة

اسرد كل مكوّن مع مالكه ووضعه، ثم أعد القراءة بهوية الخدمة الفعلية. الفرق بين صدفتك والخدمة الخفيّة هو غالباً الجواب كله. تتبّع الروابط الرمزية إلى الهدف الحقيقي، لأن المسار المحلول هو ما يُفحص.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

يمكن للخدمة أيضاً فتح ملفات في أكثر من مرحلة. تُقرأ بعض المواد أثناء الإعداد المتميز، بينما تُفتح ملفات أخرى بعد إسقاط الامتيازات. صدفة الجذر التي تقرأ الملف لا تعيد إنتاج وصول العامل اللاحق. يمكن لفضاء تسمية التحميل أن يعرض رؤية مختلفة للمسار نفسه، خصوصاً داخل حاوية، لذا قارن رؤية نظام الملفات لدى الخدمة الخفيّة برؤيتك.

غيّر أضيق صلاحية تكفي

اختر أصغر ترتيب يمنح العملية الوصول: مجموعة مضبوطة مع بحث على المجلدات اللازمة، أو موقع مُدار تملكه الخدمة بالفعل، أو آلية أخرى موثقة. قراءة ملف لا تتطلب صلاحية كتابة على مجلده. صلاحية الكتابة الواسعة للمجموعة على إعداد متميز ليست إصلاحاً عادياً للاجتياز. الوضع 0777 التكراري ليس حلاً أيضاً.

سجّل أي مكوّن غيّرته ولماذا. تغيير صلاحية دون سبب مسجّل يصعب مراجعته ويسهل نسيانه.

تجاوز الأوضاع فقط بعد الاجتياز

إذا بدت بتات الوضع كافية، فالفحوص المتبقية هي قوائم التحكم بالوصول والسياسة الأمنية وقيود الصندوق الرملي. يمكن لقائمة تحكم أن تمنح وصولاً توحي بتات الوضع بغيابه، أو تمنع وصولاً تبدو أنها تسمح به. تلك الإعدادات تخص مالك الإعداد الحالي، وينبغي تعديلها بضياع بدل إيقافها. يمكن أيضاً لاختلاف الجذر أو دليل العمل أن يفسر مساراً مطلقاً يعمل في سياق ويفشل في آخر.

لا تفقد تتبّع ماهية الملف أثناء إصلاح الوصول. شهادة CA عامة بحكم التصميم، والمفتاح الخاص ليس كذلك. الملفات التي يعيد العميل كتابتها تحتاج أيضاً حقوق كتابة مختلفة عن مفتاح هوية للقراءة فقط. افحص البيانات الوصفية دون طباعة الأسرار، ثم تأكد من عمل الخدمة نفسها بعد التغيير. ملاحظة قصيرة في وثائق الخدمة توفّر على الشخص التالي نفس الاجتياز.