Jak zkontrolovat stav IPsec bez zveřejnění jeho klíčů

Výpis stavu IPsec není zpráva o stavu a právě takové zacházení s ním vede k tomu, že se klíčový materiál ocitne ve veřejném trackeru problémů. Některé výstupy inspekce jádra obsahují provozní klíče, které jádro používá, spolu s adresami, selektory a čítači, které jsou opravdu užitečné. Bezpečný zvyk je nejprve sesbírat souhrn a k surovému stavu sáhnout jen tehdy, když souhrn na otázku nedokáže odpovědět. Pokud se na surový stav přesto musíte podívat, dívejte se lokálně a sdílejte něco užšího.

Kontrola 1: může tento artefakt vůbec opustit stroj

Konfigurační soubor, soukromý klíč, neomezený odchyt paketů a surový výpis stavu jsou všechno tajemství, dokud se neprokáže opak. Příkaz, který vypisuje klíče, se nestane bezpečným tím, že jste ho spustili kvůli diagnostice.

Pravidlo je dost jednoduché na to, aby se dalo říct jednou větou: sdílejte pozorování, které odpovídá na otázku, ne stav stroje, který ho vytvořil.

Kontrola 2: vyberte příkaz souhrnu, ne výpis stavu

Pro strongSwan swanctl --list-sas zobrazuje souhrn asociace: identity, nainstalované podřízené SA, stavy a čítače. Nevyžaduje surový výpis klíčů a je to první věc, kterou je třeba vložit do tiketu. Na straně jádra iproute2 podporuje ip xfrm state list nokeys ve verzích, které tuto volbu dokumentují, což potlačí klíčový materiál a přitom zachová pole asociace.

Ověřte syntaxi v místním manuálu, než se na ni spolehnete, protože volba není v každém vydání a obecný výpis stavu bez ní je jiný příkaz s jiným výstupem. Spouštět ip xfrm state na starém sestavení, abyste zjistili, zda přepínač existuje, je přesně ta chyba, o které tento kontrolní seznam je.

Kontrola 3: zaznamenejte jen to, co vyšetřování potřebuje

Stav asociace, algoritmy, selektory, časová razítka, směr a příslušné čítače obvykle stačí. Identity účtů, veřejné adresy a vnitřní topologie často ne, a lze je redigovat, aniž by se ztratila diagnostická hodnota.

Redigujte ve výchozím nastavení a na vyžádání přidávejte zpět. Ten, kdo čte váš tiket, může požádat o další pole; ale už vložený klíč nemůže vzít zpět.

Existuje střední cesta, kterou stojí za to znát: i souhrn může být citlivý. Identity, adresy protějšků a názvy podřízených SA popisují vaši topologii a v některých organizacích je to samo o sobě omezená informace. Rozhodněte, kdo je publikum, než něco vložíte, a dejte přednost kanálu se správným řízením přístupu před veřejným problémem. Bezpečný příkaz není totéž co bezpečné místo určení.

Kontrola 4: propojte jeden pokus na obou koncích

Zachyťte klienta i bránu pro stejný pokus o spojení ve stejný okamžik a ujistěte se, že asociace, kterou popisujete, je ta, kterou tento pokus vytvořil. Smíchání zastaralé podřízené SA z dřívějšího pokusu s čerstvým snímkem tras vytváří zprávu, která je vnitřně konzistentní a zcela zavádějící.

Identifikujte asociaci podle jejích jedinečných identifikátorů, ne podle tunelu, a poznamenejte směr selhání. Pokud je symptomem žádný provoz v jednom směru, řekněte kterým a uveďte neškodné testovací cílové místo, aby čtenář mohl uvažovat o cestě místo hádání. Čítač, který je v jednom směru nula a ve druhém roste lokalizuje problém mnohem lépe než jakýkoli výpis klíčů. Držte časová razítka v jednom časovém pásmu a řekněte kterém.

Kontrola 5: co dělat, když byl materiál již vystaven

Smazání přílohy neprokáže, že si ji nikdo neuložil, a veřejné vložení se rychle kopíruje.

Berte to jako incident a použijte proces výměny provozovatele: otočte dotčené klíče nebo přihlašovací údaje, zkontrolujte, zda expozice neznamená širší kompromitaci, a postupujte podle platné cesty oznámení. Technické čištění je ta snadná část; předpoklad, že to nikdo nečetl, je ta obtížná.

Trvalou praxí je malá šablona, kterou před vložením vyplníte: který konec, který identifikátor asociace, který směr, který čítač a co už bylo vyloučeno. dokumentace swanctl list-sas popisuje pole souhrnu a to je to, co většina tiketů skutečně potřebuje. Všechno ostatní je k dispozici na vyžádání tomu, kdo to potřebuje. Diagnostická zpráva by měla obsahovat důkazy, ne přístup.