Mae eich allwedd VPN yn ddarllenadwy i bawb: beth i'w drwsio

Arwydd cyntaf yw rhybudd yn aml, nid methiant. Mae cleient yn gwrthod llwytho allwedd oherwydd bod y ffeil yn ddarllenadwy gan y grŵp neu gan bawb, neu mae adolygiad diogelwch yn dod o hyd i client.key ar fodd 644 mewn cyfeiriadur proffil sydd hefyd yn cynnwys pecynnau a allforiwyd. Nid oes dim wedi methu eto, a dyna'n union pam y caiff y rhybudd ei ddiystyru. Mae'r allwedd yn gweithio, mae'r twnnel yn codi, ac mae'r ffeil yn ddarllenadwy gan bob cyfrif ar y peiriant.

Y symptom yw rhybudd caniatâd, nid methiant

Ar system debyg i Unix, dylai allwedd breifat fod yn ddarllenadwy gan y cyfrif sy'n rhedeg y gwasanaeth yn unig. Modd 600 gyda'r perchennog cywir yw'r trefniant arferol. Mae modd 644 yn golygu y gall pob defnyddiwr lleol gopïo'r allwedd, ac ar westeiwr adeiladu a rennir mae hynny'n gynulleidfa wirioneddol.

Mae cleientiaid sy'n gwirio hyn yn gwneud cymwynas â chi. Nid yw'r rhai nad ydynt yn gwirio yn dystiolaeth bod y ffeil yn ddiogel, ac nid yw cysylltiad llwyddiannus yn dweud dim am bwy arall all ddarllen y deunydd a'i gwnaeth yn bosibl. Triniwch y rhybudd fel y canfyddiad cyfan. Mae'n gywir, ac fe gyrhaeddodd cyn i unrhyw un gopïo'r ffeil.

Cyfunwch y modd â hunaniaeth y gwasanaeth

Mae mynediad i'r perchennog yn unig yn addas ar gyfer allwedd a ddefnyddir gan y perchennog hwnnw. Efallai y bydd angen trefniant rheoledig gwahanol ar wasanaeth â grŵp a rennir yn fwriadol, fel darllen grŵp ar allwedd sy'n eiddo i gyfrif gwasanaeth. Mae gosod un modd rhifiadol yn ddi-drefn ar bob ffeil yn torri cleientiaid a gefnogir, ac nid yw chmod -R 777 yn ateb i ddim.

Gwiriwch y perchennog a'r cyfrif gwasanaeth cyn newid unrhyw beth. Mae gan dystysgrifau CA cyhoeddus ac allweddi hunaniaeth preifat ofynion cyfrinachedd gwahanol hyd yn oed pan fyddant yn yr un cyfeiriadur, felly mae modd ailadroddus ar y ffolder gyfan yn trin y ddau fel pe baent yr un gwrthrych.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Ar lwyfannau eraill, defnyddiwch y storfa allweddi neu'r model rheoli mynediad a ddogfenwyd yn lle cyfieithu moddau Unix yn ddyfaliad. Mae enw ffeil sy'n gorffen ag private yn label, nid yn fecanwaith gorfodi.

Darganfyddwch y copïau nad yw'r modd yn eu cwmpasu

Gall golygyddion, archifau wrth gefn, proffiliau a allforiwyd a phecynnau dros dro bob un gadw'r un hunaniaeth. Amddiffynnwch y copïau hynny yn ôl eu cynnwys, oherwydd nid yw tynhau'r ffeil wreiddiol yn gwneud dim i'r un yn nharball y mis diwethaf.

Cyfrinymadrodd ar ffeil allwedd sy'n ddefnyddiol ar gyfer deunydd a storiwyd ac nid yw'n cyfiawnhau cyhoeddi'r ffeil wedi'i hamgryptio wrth ei chyfrinair. Mae caniatâd yn amddiffyn gwrthrych y system ffeiliau presennol; nid ydynt yn dweud dim am gymhwyster sydd eisoes wedi'i gopïo yn rhywle arall.

Chwiliwch am y copïau cyn datgan bod y gwaith wedi'i wneud: grep -rl llinell bennawd yr allwedd mewn cyfeiriaduron tebygol, ac amcen ar eithriadau wrth gefn. Mae'r canlyniad fel arfer yn fwy diddorol na'r ffeil y gwnaethoch ddechrau â hi.

Ar ôl y trwsiad, gwiriwch a throwch

Profwch fod y gwasanaeth arfaethedig yn dal i ddilysu, yna cadarnhewch na chafodd unrhyw gyfrif diangen fynediad. Cadwch allbwn diagnostig i fetadata, oherwydd nid oes angen argraffu'r allwedd i brofi bod y ffeil yn ddarllenadwy ac mae'n rhoi'r deunydd mewn log.

Os cafodd yr allwedd ei datgelu, tynnwch y modd, yna disodlwch y cymhwyster a dadrannwch yr hen un. Manyleb POSIX chmod yn egluro beth y mae pob did modd yn ei olygu, sydd yn werth ei wybod cyn i'r adolygiad nesaf ofyn i chi gyfiawnhau'r rhif a ddewisoch.