Com inspeccionar l’estat d’IPsec sense publicar-ne les claus

Un abocament d’estat d’IPsec no és un informe d’estat, i tractar-lo com a tal és com el material de claus acaba en un rastrejador de problemes públic. Algunes sortides d’inspecció del nucli inclouen les claus de trànsit que fa servir el nucli, juntament amb adreces, selectors i comptadors que són realment útils. L’hàbit segur és recollir primer el resum i recórrer a l’estat cru només quan el resum no pot respondre la pregunta. Si heu de mirar l’estat cru, mireu-ho localment i compartiu una cosa més estreta.

Comprovació 1: pot aquest artefacte sortir mai de la màquina

Un fitxer de configuració, una clau privada, una captura de paquets sense restriccions i un abocament d’estat cru són tots secrets fins que no es demostri el contrari. Una ordre que imprimeix claus no es fa segura pel fet que l’hàgiu executada per a diagnostics.

La regla és prou simple per dir-la en una frase: compartiu l’observació que respon la pregunta, no l’estat de la màquina que la va produir.

Comprovació 2: trieu l’ordre de resum, no l’abocament d’estat

Per a strongSwan, swanctl --list-sas mostra el resum de l’associació: identitats, SA filles instal·lades, estats i comptadors. No requereix l’abocament cru de claus i és el primer que cal enganxar en un tiquet. Pel costat del nucli, iproute2 admet ip xfrm state list nokeys en les versions que documenten l’opció, cosa que suprimeix el material de claus tot mantenint els camps de l’associació.

Confirmeu la sintaxi al manual local abans de confiar-hi, perquè l’opció no és present a totes les versions i un llistat genèric d’estat sense ella és una altra ordre amb una sortida diferent. Executar ip xfrm state en una compilació antiga per veure si el flag existeix és exactament l’error del qual tracta aquesta llista.

Comprovació 3: anoteu només el que la investigació necessita

L’estat de l’associació, els algorismes, els selectors, les marques de temps, la direcció i els comptadors rellevants solen ser suficients. Les identitats de compte, les adreces públiques i la topologia interna sovint no ho són, i es poden redactar sense perdre valor diagnòstic.

Redacteu per defecte i afegiu-ho de nou si us ho demanen. Qui llegeix el vostre tiquet pot demanar un camp més; però no pot desveure una clau enganxada.

Hi ha un terme mitjà que val la pena conèixer: un resum també pot ser sensible. Les identitats, les adreces dels parells i els noms de les SA filles descriuen la vostra topologia, i en algunes organitzacions això ja és informació restringida. Decidiu qui és el públic abans d’enganxar i preferiu un canal amb el control d’accés adequat a un problema públic. Una ordre segura no és el mateix que una destinació segura.

Comprovació 4: correlacioneu un intent als dos extrems

Captureu el client i la passarel·la del mateix intent de connexió, alhora, i assegureu-vos que l’associació que descriviu és la que va produir aquell intent. Barrejar una SA filla antiga d’un intent anterior amb una instantània fresca de rutes produeix un informe internament coherent i completament enganyós.

Identifiqueu l’associació pels seus identificadors únics i no pel túnel, i anoteu la direcció de la fallada. Si el símptoma és que no hi ha trànsit en una direcció, digueu quina i incloeu una destinació de prova inofensiva, perquè el lector pugui raonar sobre el camí en lloc d’endevinar. Un comptador que és zero en una direcció i puja en l’altra localitza el problema molt millor que qualsevol abocament de claus. Manteniu les marques de temps en un sol fus horari i digueu quin.

Comprovació 5: què fer si el material ja s’ha exposat

Esborrar l’adjunt no demostra que ningú no l’hagi conservat, i un enganxat públic es copia de pressa.

Tracteu-ho com un incident i feu servir el procés de substitució de l’operador: canvieu les claus o credencials afectades, comproveu si l’exposició implica un compromís més ampli i seguiu el camí de notificació que correspongui. La neteja tècnica és la part fàcil; la suposició que ningú ho ha llegit és la part difícil.

La pràctica duradora és una plantilla petita que ompliu abans d’enganxar: quin extrem, quin identificador d’associació, quina direcció, quin comptador i què ja s’ha descartat. El documentació de swanctl list-sas descriu els camps del resum, que és el que la majoria de tiquets necessiten. Tota la resta està disponible si algú que ho necessita ho demana. Un informe de diagnòstic hauria de contenir proves, no accés.