Caniatâd chwilio ar bob cyfeiriadur cyn yr allwedd

Nid yw modd 0600 a’r perchennog cywir yn gwarantu y gall y gwasanaeth agor allwedd. Mae’r caniatâd coll fel arfer ar gyfeiriadur uwchben. Mae Linux yn datrys llwybr un cydran ar y tro, ac mae angen caniatâd chwilio ar bob cam cyn ceisio’r nesaf. Darllenwch y llwybr cyfan, nid llinell olaf y rhestr.

Caniatâd darllen yw’r cam olaf, nid yr unig un

Mae agor ffeil yn gofyn i’r cnewyllyn gerdded o’r gwraidd neu’r cyfeiriadur gwaith drwy bob cydran o’r llwybr. Mae cyfeiriadur heb ganiatâd chwilio’n atal y gerddediad hwnnw gyda gwall caniatâd. Ni ymgynghorir â modd y ffeil ei hun byth, felly mae allwedd hollol ddarllenadwy’n edrych yn annarllenadwy. Mae’r gwall yn aml yn cyrraedd adeg agor heb enwi’r cyfeiriadur, a dyna pam y rhoddir y bai ar y ffeil olaf.

Ar gyfer cyfeiriadur, mae’r did gweithredu’n golygu chwilio, nid gweithredu’r cynnwys. Mae allwedd yn parhau’n ddata, ac nid oes unrhyw ran o’r trwsio hwn yn gofyn ei marcio’n weithredadwy.

Cerddwch y llwybr fel cyfrif gwasanaeth

Rhestrwch bob cydran gyda’i pherchennog a’i modd, yna ailadroddwch y darlleniad fel gwir hunaniaeth y gwasanaeth. Y gwahaniaeth rhwng eich plisgyn a’r daemon yw’r ateb cyfan yn aml. Dilynwch gysylltiadau symbolaidd at y targed go iawn, oherwydd y llwybr wedi’i ddatrys sy’n cael ei wirio.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Gall gwasanaeth hefyd agor ffeiliau mewn mwy nag un cam. Darllenir rhywfaint o ddeunydd yn ystod y gosodiad braintus, tra agorir ffeiliau eraill ar ôl gollwng breintiau. Nid yw plisgyn gwraidd sy’n darllen y ffeil yn atgynhyrchu mynediad y gweithiwr diweddarach. Gall gofod enw mowntio gyflwyno golwg wahanol o’r un llwybr, yn enwedig y tu mewn i gynhwysydd, felly cymharwch olwg system ffeiliau’r daemon â’ch un chi.

Dewiswch y drefn leiaf sy’n rhoi mynediad

Dewiswch y drefn leiaf sy’n rhoi mynediad i’r broses: grŵp rheoledig â chwilio ar y cyfeiriaduron angenrheidiol, lleoliad rheoli y mae’r gwasanaeth eisoes yn berchen arno, neu fecanwaith arall wedi’i ddogfennu. Nid yw darllen ffeil yn gofyn caniatâd ysgrifennu ar ei chyfeiriadur. Nid yw caniatâd ysgrifennu grŵp eang ar ffurfweddiad braintus yn drwsio trawma arferol. Nid yw 0777 ailadroddus yn ateb chwaith.

Cofnodwch pa gydran a newidiasoch a pham. Mae newid caniatâd heb reswm wedi’i gofnodi’n anodd ei adolygu ac yn hawdd ei adael ar ôl.

Edrychwch y tu hwnt i foddau dim ond ar ôl y gerddediad

Os yw didau modd yn edrych yn ddigonol, yr archwiliadau sy’n weddill yw ACLau, polisi diogelwch a chyfyngiadau sandbox. Gall ACL ganiatáu mynediad y mae’r didau modd yn awgrymu sy’n absennol, neu wrthod mynediad y maent yn ymddangos yn ei ganiatáu. Mae’r gosodiadau hynny’n perthyn i berchennog y ffurfweddiad presennol, a dylid eu haddasu’n gul yn hytrach na’u diffodd. Gall gwahaniaeth gwraidd neu gyfeiriadur gwaith hefyd esbonio llwybr absoliwt sy’n gweithio mewn un cyd-destun ac yn methu mewn un arall.

Peidiwch â cholli golwg ar beth yw’r ffeil wrth drwsio mynediad. Mae tystysgrif CA yn gyhoeddus o fwriad; nid yw allwedd breifat felly. Mae ffeiliau y mae’r cleient yn eu hailysgrifennu hefyd angen hawliau ysgrifennu gwahanol i allwedd hunaniaeth sy’n ddarllen yn unig. Archwiliwch fetadata heb argraffu cyfrinachau, yna cadarnhewch fod y gwasanaeth ei hun yn gweithio ar ôl y newid. Mae nodyn byr yn nogfennaeth y gwasanaeth yn arbed yr un gerddediad i’r person nesaf.