Як праверыць стан IPsec, не публікуючы яго ключы

Дамп стану IPsec — гэта не справаздача аб стане, і менавіта такое стаўленне да яго прыводзіць да таго, што ключавы матэрыял трапляе ў публічны трэкер праблем. Некаторыя вынікі інспекцыі ядра змяшчаюць ключы трафіку, якія выкарыстоўвае ядро, а таксама адрасы, селектары і лічыльнікі, якія сапраўды карысныя. Бяспечная звычка — спачатку сабраць зводку і звяртацца да сырога стану толькі тады, калі зводка не можа адказаць на пытанне. Калі вам усё ж трэба паглядзець сыры стан, глядзіце лакальна і дзяліцеся чымсьці вузкім.

Праверка 1: ці можа гэты артэфакт наогул пакінуць машыну

Канфігурацыйны файл, прыватны ключ, неабмежаваны захоп пакетаў і сыры дамп стану — усё гэта сакрэты, пакуль не даказана адваротнае. Каманда, якая друкуе ключы, не робіцца бяспечнай ад таго, што вы запусцілі яе дзеля дыягностыкі.

Правіла дастаткова простае, каб сфармуляваць яго адным сказам: дзяліцеся назіраннем, якое адказвае на пытанне, а не станам машыны, які яго стварыў.

Праверка 2: выбірайце каманду зводкі, а не дамп стану

Для strongSwan swanctl --list-sas паказвае зводку асацыяцыі: ідэнтычнасці, усталяваныя даччыныя SA, станы і лічыльнікі. Ён не патрабуе сырога дампу ключоў і менавіта яго першым устаўляюць у тыкет. На баку ядра iproute2 падтрымлівае ip xfrm state list nokeys у версіях, дзе гэтая опцыя дакументаваная, што прыхавае ключавы матэрыял, захоўваючы палі асацыяцыі.

Пацвердзіце сінтаксіс у лакальным дапаможніку, перш чым спадзявацца на яго, бо опцыя ёсць не ў кожным выпуску, а звычайны спіс стану без яе — іншая каманда з іншым вывадам. Запуск ip xfrm state на старой зборцы, каб высветліць, ці існуе сцяг, — гэта менавіта тая памылка, пра якую гэты чэк-ліст.

Праверка 3: запісвайце толькі тое, што патрэбна расследаванню

Статус асацыяцыі, алгарытмы, селектары, часовыя меткі, кірунак і адпаведныя лічыльнікі звычайна дастатковыя. Ідэнтычнасці ўліковых запісаў, публічныя адрасы і ўнутраная тапалогія часта не, і іх можна рэдагаваць, не страчваючы дыягнастычнай каштоўнасці.

Рэдагуйце па змаўчанні і дадавайце назад па запыце. Той, хто чытае ваш тыкет, можа папрасіць яшчэ адно поле; але ён не можа зрабіць так, каб ужо ўстаўлены ключ знік з памяці.

Ёсць прамежкавы шлях, які варта ведаць: зводка таксама можа быць адчувальнай. Ідэнтычнасці, адрасы партнёраў і імёны даччыных SA апісваюць вашу тапалогію, і ў некаторых арганізацыях гэта само па сабе закрытая інфармацыя. Вызначце аўдыторыю да таго, як устаўляць, і аддавайце перавагу каналу з належным кантролем доступу перад публічнай праблемай. Бяспечная каманда — не тое самае, што бяспечнае прызначэнне.

Праверка 4: суаднясіце адну спробу на абодвух канцах

Захапіце кліента і шлюз для адной і той жа спробы злучэння ў адзін і той жа момант і пераканайцеся, што асацыяцыя, якую вы апісваеце, — менавіта тая, якую стварыла гэтая спроба. Змешванне састарэлай даччынай SA з папярэдняй спробы са свежым здымкам маршрутаў дае справаздачу, унутрана ўзгодненую і цалкам памылковую.

Вызначайце асацыяцыю па яе ўнікальных ідэнтыфікатарах, а не па тунелі, і адзначце кірунак збою. Калі сімптом — адсутнасць трафіку ў адным кірунку, скажыце, у якім, і дадайце бясшкодную тэставую прызначэнне, каб чытач мог разважаць пра шлях замест здагадак. Лічыльнік, які ў адным кірунку роўны нулю, а ў іншым расце лакалізуе праблему значна лепш, чым любы дамп ключоў. Трымайце часовыя меткі ў адной часавай зоне і скажыце, у якой.

Праверка 5: што рабіць, калі матэрыял ужо быў раскрыты

Выдаленне ўкладання не даказвае, што ніхто яго не захаваў, а публічная ўстаўка капіюецца хутка.

Разглядайце гэта як інцыдэнт і выкарыстоўвайце працэс замены аператара: перавярніце закранутыя ключы або ўліковыя дадзеныя, праверце, ці не азначае раскрыццё шырэйшага ўзлому, і выконвайце той шлях апавяшчэння, які прымяняецца. Тэхнічная ачыстка — лёгкая частка; здагадка, што ніхто гэтага не чытаў, — цяжкая.

Устойлівая практыка — невялікі шаблон, які вы запаўняеце перад устаўкай: які канец, які ідэнтыфікатар асацыяцыі, які кірунак, які лічыльнік і што ўжо выключана. дакументацыя swanctl list-sas апісвае палі зводкі, і менавіта гэта патрэбна большасці тыкетаў. Усё астатняе даступна па запыце таму, каму гэта трэба. Дыягнастычная справаздача павінна змяшчаць доказы, а не доступ.