VPN açarınız hər kəs üçün oxunaqlıdır: nəyi düzəltməli

İlk əlamət adətən nasazlıq deyil, xəbərdarlıqdır. Bir müştəri açarı yükləməkdən imtina edir, çünki fayl qrup və ya hamı tərəfindən oxunaqlıdır, ya da təhlükəsizlik yoxlaması client.key faylını ixrac edilmiş paketlərin də olduğu profil qovluğunda 644 rejimində tapır. Hələ heç nə sıradan çıxmayıb və xəbərdarlığın laqeyd qalmasının səbəbi də elə budur. Açar işləyir, tunel qalxır və fayl maşındakı hər hesab üçün oxunaqlıdır.

Simptom kəsinti deyil, icazə xəbərdarlığıdır

Unix tipli sistemdə şəxsi açar yalnız xidməti işlədən hesab tərəfindən oxuna bilməlidir. Düzgün sahiblə 600 rejimi adi haldır. 644 rejimi hər yerli istifadəçinin açarı kopyalaya bilməsi deməkdir və ortaq build hostunda bu real auditoriyadır.

Bunu yoxlayan müştərilər sizə yaxşılıq edir. Etməyənlər faylın təhlükəsiz olmasına dəlil deyil və uğurlu bağlantı materialı başqa kimin oxuya biləcəyi barədə heç nə demir. Xəbərdarlığı bütün tapıntı kimi qəbul edin. O, dəqiqdir və hər kəs faylı kopyalamadan əvvəl gəlib.

Rejimi xidmət kimliyinə uyğunlaşdırın

Yalnız sahibin girişi həmin sahibin istifadə etdiyi açara uyğundur. Qəsdən ortaq qrupu olan xidmət başqa nəzarətli düzülüşə ehtiyac duya bilər, məsələn xidmət hesabına məxsus açarda qrup oxuması. Hər faylı kor-koranə bir rəqəmli rejimə salmaq dəstəklənən müştəriləri pozur və chmod -R 777 heç bir şeyin həlli deyil.

Nəyisə dəyişməzdən əvvəl sahibi və xidmət hesabını yoxlayın. İctimai CA sertifikatları və şəxsi kimlik açarları eyni qovluqda olsalar da fərqli məxfilik tələblərinə malikdir, ona görə bütün qovluğa tətbiq olunan rekursiv rejim ikisini eyni obyekt kimi qəbul edir.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Digər platformalarda Unix rejimlərini təxminə çevirmək əvəzinə sənədləşdirilmiş açar anbarından və ya giriş nəzarəti modelindən istifadə edin. private ilə bitən fayl adı etiketdir, icra mexanizmi deyil.

Rejimin əhatə etmədiyi kopyaları tapın

Redaktorlar, ehtiyat arxivləri, ixrac edilmiş profillər və müvəqqəti paketlər hər biri eyni kimliyi saxlaya bilər. Həmin kopyaları məzmununa görə qoruyun, çünki orijinal faylı sıxmaq keçən ayın tar arxivindəkinə heç nə etmir.

Açar faylındakı parol ifadəsi saxlanan material üçün faydalıdır və şifrələnmiş faylı parolunun yanında dərc etməyi əsaslandırmır. İcazələr cari fayl sistemi obyektini qoruyur; başqa yerə artıq kopyalanmış etimadnamə barədə heç nə demir.

İşi bitmiş elan etməzdən əvvəl kopyaları axtarın: grep -rl açarın başlıq sətrini ehtimal olunan qovluqlarda, həmçinin ehtiyat istisnalarına nəzər salın. Nəticə adətən başladığınız fayldan daha maraqlı olur.

Düzəlişdən sonra yoxlayın və dəyişdirin

Nəzərdə tutulan xidmətin hələ də autentifikasiya etdiyini yoxlayın, sonra lazımsız heç bir hesabın giriş almadığını təsdiqləyin. Diaqnostik çıxışı metadata ilə məhdudlaşdırın, çünki açarı çap etmək faylın oxuna bilməsini sübut etmək üçün lazım deyil və bu, materialı jurnala salır.

Açar açıq qalıbsa, rejimi sıxın, sonra etimadnaməni əvəz edin və köhnəsini ləğv edin. POSIX chmod spesifikasiyası hər rejim bitinin nə demək olduğunu izah edir və növbəti audit seçdiyiniz rəqəmi əsaslandırmağınızı istəməzdən əvvəl bunu bilməyə dəyər.