Zredigovat log VPN, aniž byste ztratili stopy, na kterých záleží

Vložíte log do vlákna podpory, odpověď upozorní, že obsahuje váš soukromý klíč, a vložení je trvalé. Tišší selhání se objeví později, když se každá adresa stala X a soubor už nedokazuje, že klient a server byly různé hostitele. Průchod redakce odstraní to, co dává přístup nebo pojmenovává osobu, a ponechá to, co selhání vysvětluje. To je přeměna s pravidly, ne smazání s vyhledávacím polem.

Redakce je přeměna, ne smazání

Log nese strukturu stejně jako hodnoty: tato adresa mluvila s tamtou, v tomto čase, a handshake se zastavil u tohoto kroku. Hodnoty jsou to, co činí soubor nebezpečným k publikování. Struktura je to, co jej vůbec činí hodným publikování.

Smazání celých řádků odstraní obojí najednou, a proto zkrácený log často nic neodpovídá. Sloučení každé hodnoty do jednoho tokenu selhává jinak, protože dva odlišní peeri se stanou jediným aktérem. Oba průchody mohou vypadat úhledně a přesto zničit důkaz. Testem je, zda čtenář, který vaši síť nikdy neviděl, dokáže sledovat posloupnost a dojít ke stejnému závěru jako vy.

Nejprve výňatek, potom čištění

Vyřízněte část kolem selhání, než cokoli upravíte. Menší výňatek se snáze zkontroluje a je méně pravděpodobné, že ponese něco, na co jste zapomněli, že v souboru bylo. Ponechte nedotčený originál v chráněném úložišti, dokud se problém neuzavře. Redakce je ztrátová a surový soubor je jediný způsob, jak odpovědět na následnou otázku.

Přečtěte si výňatek jako prostý text, než uvěříte, že příkaz pro export odstranil soukromé části, protože exportéry shrnují a rotují pole místo toho, aby je čistily. Režimy debug a verbose jsou nejpravděpodobnějším místem pro blok klíče nebo vložené přihlašovací údaje. Otevřete soubor v editoru, který zobrazuje plné řádky, ne v prohlížeči, který zalamuje a skrývá konec.

Co musí zmizet a v jakém pořadí

Začněte materiálem, který dává přístup, protože vynechání zde ukončí cvičení: bloky soukromých klíčů, hesla, předem sdílené klíče, tokeny API, kódy pro obnovu. Nejen identifikují; mohou je použít všichni, kdo vlákno čtou. Průchod, který odstraní vše ostatní a jeden z nich ponechá, selhal.

Potom vrstva identity: uživatelská jména, subjekty a sériová čísla certifikátů, identifikátory účtů a každá cesta obsahující jméno osoby. Nic z toho není použitelné samo, ale dohromady pojmenovává osobu, a to je část, kterou veřejné vlákno nepotřebuje.

Potom vrstva topologie, a tam vstupuje úsudek. Veřejné adresy, interní rozsahy a názvy hostitelů lze nahradit, když jejich zveřejnění neslouží žádnému diagnostickému účelu, a stabilní štítky jsou lepší než prázdná místa. Pořadí je důležité, protože dřívější vrstvy jsou absolutní a poslední je rozhodnutí. Práce v tomto pořadí vám také zabrání strávit hodinu u názvů hostitelů, zatímco blok klíče leží na čtyřicátém řádku.

Neničte vztahy

Dejte každé skutečné hodnotě jeden zástupný symbol a znovu jej použijte pokaždé, když se tato hodnota objeví. Pokud byly dvě adresy různé, musí zůstat různé i po průchodu, jinak čtenář dojde k závěru, že se klient připojil sám k sobě. Konzistence je celý mechanismus: čtenář se učí mapování tím, že vidí štítek vracet se. Jeden znovu použitý token pro dva aktéry je nejrychlejší způsob, jak udělat log nečitelným.

Pořadí a čas jsou součástí stejné struktury. Zachovejte posloupnost nedotčenou, a pokud posouváte časová razítka, posuňte všechna o stejnou hodnotu a řekněte to jednou řádkou. Míchání změněných a skutečných časů je horší než jejich odstranění, protože mezery pak vypadají jako důkaz něčeho, co se nikdy nestalo.

Porty, protokol a směr zůstávají tak, jak jsou. Zástupný symbol na adrese nevyžaduje zástupný symbol na portu.

Zachovejte otázku, na kterou musí log odpovědět

Zapište pole, která pomocník potřebuje, než začnete upravovat: přesný, neutajovaný text chyby, verze klienta a serveru, transport a která strana pokus zahájila. To jsou věci, které cizímu člověku umožní selhání rozpoznat. Držení seznamu u sebe mění průchod v kontrolu místo naděje.

Když soubor posíláte, přidejte jeden řádek s tím, co bylo nahrazeno, aby nikdo nestrávil hodinu diagnostikou zástupného názvu hostitele. Dokumentace OpenVPN k diagnostickým logům uvádí pole, která její logy nesou, a to je seznam, který právě měníte. Zeptejte se, než pošlete výpis paměti nebo zachycení paketů, a použijte kanál podpory, který můžete ověřit. Tyto artefakty obsahují mnohem více než textový log a část z toho není vaše k publikování.

Přečtěte si hotový výňatek jednou od prvního do posledního řádku, včetně začátku a konce. Snímky obrazovky si zaslouží více nedůvěry než text, protože nesou jiná okna, názvy účtů a položky nabídky.