Πώς να ελέγξετε την κατάσταση του IPsec χωρίς να δημοσιεύσετε τα κλειδιά του

Μια εκτύπωση κατάστασης IPsec δεν είναι αναφορά κατάστασης, και η αντιμετώπισή της ως τέτοιας είναι ο τρόπος με τον οποίο το υλικό κλειδιών καταλήγει σε δημόσιο ιχνηλάτη προβλημάτων. Μερικές έξοδοι επιθεώρησης πυρήνα περιλαμβάνουν τα κλειδιά κίνησης που χρησιμοποιεί ο πυρήνας, μαζί με διευθύνσεις, επιλογείς και μετρητές που είναι πραγματικά χρήσιμοι. Η ασφαλής συνήθεια είναι να συλλέγετε πρώτα τη σύνοψη και να φτάνετε στην ακατέργαστη κατάσταση μόνο όταν η σύνοψη δεν μπορεί να απαντήσει στην ερώτηση. Αν πρέπει οπωσδήποτε να δείτε την ακατέργαστη κατάσταση, δείτε την τοπικά και μοιραστείτε κάτι στενότερο.

Έλεγχος 1: μπορεί αυτό το τεχνούργημα να φύγει καθόλου από το μηχάνημα

Ένα αρχείο ρυθμίσεων, ένα ιδιωτικό κλειδί, μια καταγραφή πακέτων χωρίς περιορισμούς και μια ακατέργαστη εκτύπωση κατάστασης είναι όλα μυστικά μέχρι να αποδειχθεί το αντίθετο. Μια εντολή που εκτυπώνει κλειδιά δεν γίνεται ασφαλής επειδή την εκτελέσατε για διαγνωστικούς σκοπούς.

Ο κανόνας είναι αρκετά απλός για να ειπωθεί σε μία πρόταση: μοιραστείτε την παρατήρηση που απαντά στην ερώτηση, όχι την κατάσταση του μηχανήματος που την παρήγαγε.

Έλεγχος 2: διαλέξτε την εντολή σύνοψης, όχι την εκτύπωση κατάστασης

Για το strongSwan το swanctl --list-sas δείχνει τη σύνοψη της συσχέτισης: ταυτότητες, εγκατεστημένα θυγατρικά SA, καταστάσεις και μετρητές. Δεν απαιτεί την ακατέργαστη εκτύπωση κλειδιών και είναι το πρώτο πράγμα που επικολλάται σε ένα δελτίο. Στην πλευρά του πυρήνα, το iproute2 υποστηρίζει το ip xfrm state list nokeys σε εκδόσεις που τεκμηριώνουν την επιλογή, το οποίο καταπιέζει το υλικό κλειδιών διατηρώντας τα πεδία της συσχέτισης.

Επιβεβαιώστε τη σύνταξη στο τοπικό εγχειρίδιο πριν βασιστείτε σε αυτήν, γιατί η επιλογή δεν υπάρχει σε κάθε έκδοση, και μια γενική λίστα κατάστασης χωρίς αυτήν είναι άλλη εντολή με άλλη έξοδο. Η εκτέλεση του ip xfrm state σε μια παλιά έκδοση για να δείτε αν υπάρχει η σημαία είναι ακριβώς το λάθος με το οποίο ασχολείται αυτή η λίστα ελέγχου.

Έλεγχος 3: καταγράψτε μόνο ό,τι χρειάζεται η έρευνα

Η κατάσταση της συσχέτισης, οι αλγόριθμοι, οι επιλογείς, οι χρονικές σφραγίδες, η κατεύθυνση και οι σχετικοί μετρητές αρκούν συνήθως. Οι ταυτότητες λογαριασμών, οι δημόσιες διευθύνσεις και η εσωτερική τοπολογία συχνά δεν αρκούν, και μπορούν να αποκρυφτούν χωρίς να χαθεί διαγνωστική αξία.

Αποκρύψτε εξ ορισμού και προσθέστε ξανά κατόπιν αιτήματος. Όποιος διαβάζει το δελτίο σας μπορεί να ζητήσει ένα ακόμη πεδίο· δεν μπορεί όμως να κάνει ένα κλειδί που επικολλήθηκε να μην το έχει δει.

Υπάρχει μια μέση οδός που αξίζει να τη γνωρίζετε: ακόμη και μια σύνοψη μπορεί να είναι ευαίσθητη. Οι ταυτότητες, οι διευθύνσεις των ομοτίμων και τα ονόματα των θυγατρικών SA περιγράφουν την τοπολογία σας, και σε ορισμένους οργανισμούς αυτό από μόνο του είναι περιορισμένη πληροφορία. Αποφασίστε ποιο είναι το κοινό πριν επικολλήσετε, και προτιμήστε ένα κανάλι με τον σωστό έλεγχο πρόσβασης αντί για ένα δημόσιο θέμα. Μια ασφαλής εντολή δεν είναι το ίδιο με έναν ασφαλή προορισμό.

Έλεγχος 4: συσχετίστε μία απόπειρα και στα δύο άκρα

Καταγράψτε τον πελάτη και την πύλη για την ίδια απόπειρα σύνδεσης, την ίδια στιγμή, και βεβαιωθείτε ότι η συσχέτιση που περιγράφετε είναι αυτή που παρήγαγε εκείνη η απόπειρα. Η ανάμειξη ενός παλιού θυγατρικού SA από προηγούμενη απόπειρα με ένα φρέσκο στιγμιότυπο διαδρομών παράγει μια αναφορά εσωτερικά συνεπή και εντελώς παραπλανητική.

Προσδιορίστε τη συσχέτιση από τα μοναδικά αναγνωριστικά της και όχι από τη σήραγγα, και σημειώστε την κατεύθυνση της αποτυχίας. Αν το σύμπτωμα είναι καθόλου κίνηση προς μία κατεύθυνση, πείτε ποια κατεύθυνση και συμπεριλάβετε έναν ακίνδυνο προορισμό δοκιμής, ώστε ο αναγνώστης να συλλογιστεί για τη διαδρομή αντί να μαντέψει. Ένας μετρητής που είναι μηδέν στη μία κατεύθυνση και ανεβαίνει στην άλλη εντοπίζει το πρόβλημα πολύ καλύτερα από οποιαδήποτε εκτύπωση κλειδιών. Κρατήστε τις χρονικές σφραγίδες σε μία ζώνη ώρας και πείτε ποια.

Έλεγχος 5: τι να κάνετε αν το υλικό έχει ήδη εκτεθεί

Η διαγραφή του συνημμένου δεν αποδεικνύει ότι κανείς δεν το κράτησε, και μια δημόσια επικόλληση αντιγράφεται γρήγορα.

Αντιμετωπίστε το ως περιστατικό και χρησιμοποιήστε τη διαδικασία αντικατάστασης του διαχειριστή: περιστρέψτε τα επηρεαζόμενα κλειδιά ή διαπιστευτήρια, ελέγξτε αν η έκθεση συνεπάγεται ευρύτερο συμβιβασμό και ακολουθήστε όποια διαδρομή ειδοποίησης ισχύει. Ο τεχνικός καθαρισμός είναι το εύκολο μέρος· η υπόθεση ότι κανείς δεν το διάβασε είναι το δύσκολο.

Η διαρκής πρακτική είναι ένα μικρό πρότυπο που συμπληρώνετε πριν επικολλήσετε: ποιο άκρο, ποιο αναγνωριστικό συσχέτισης, ποια κατεύθυνση, ποιος μετρητής και τι έχει ήδη αποκλειστεί. Η τεκμηρίωση του swanctl list-sas περιγράφει τα πεδία της σύνοψης, και αυτό χρειάζονται πραγματικά τα περισσότερα δελτία. Όλα τα άλλα είναι διαθέσιμα κατόπιν αιτήματος σε όποιον τα χρειάζεται. Μια διαγνωστική αναφορά πρέπει να περιέχει στοιχεία, όχι πρόσβαση.