Εξαγωγή NFS κλειδωμένη σε διεύθυνση VPN: τι δεν αποδεικνύει
Ένας κανόνας εξαγωγής ελέγχει από πού ήρθε το πακέτο· το AUTH_SYS δηλώνει τοπικό UID και το Kerberos πιστοποιεί χρήστη. Αποφασίστε τι χρειάζεται η υπηρεσία αρχείων σας.
Ένας κεντρικός υπολογιστής εξάγει έναν κατάλογο σε μια διεύθυνση VPN, η προσάρτηση πετυχαίνει και η σχεδίαση καταγράφεται ως πιστοποιημένη. Αυτό που περιορίζει στην πραγματικότητα ο κανόνας είναι από πού φαίνεται ότι προέρχονται τα πακέτα. Το αν το πρόσωπο που καθοδηγεί τη λειτουργία αρχείου είναι αυτό που ισχυρίζεται ότι είναι εξαρτάται από το προφίλ ασφαλείας του NFS, και στις περισσότερες εξαγωγές αυτού του είδους κανείς δεν το άλλαξε από την προεπιλογή.
Τρεις ταυτότητες μπορούν να εμφανιστούν σε ένα αίτημα
Ο ομότιμος του VPN φέρει καταχωρισμένη ταυτότητα, όπως πιστοποιητικό πελάτη ή κλειδί ομοτίμου. Το εσωτερικό πακέτο IP φέρει διεύθυνση προέλευσης. Η λειτουργία αρχείου φέρει όποια διαπιστευτήρια χρήστη παρέχει ο μηχανισμός NFS της. Μια σχεδίαση που αντιμετωπίζει τη διεύθυνση ως υποκατάστατο και των τριών έχει σιωπηρά υποθέσει ακριβώς το μέρος που έπρεπε να επαληθεύσει.
| Identity | What it proves | What it does not |
|---|---|---|
| VPN peer | Which peer was accepted by the tunnel | Which user runs on that machine |
| Inner source address | Where the packet appears to originate | That only the intended client can use it |
| NFS credential | What the file service believes about the caller | Anything, if the flavour only asserts local IDs |
Το να γράψετε αυτές τις τρεις γραμμές είναι όλη η άσκηση. Το μεγαλύτερο μέρος της συζήτησης για το αν μια εξαγωγή είναι ασφαλής καταρρέει μόλις γίνει σαφές σε ποια γραμμή ζει κάθε έλεγχος.
Η κυριότητα της διεύθυνσης είναι λεπτομέρεια υλοποίησης
Μια πύλη μπορεί να εκχωρήσει διεύθυνση σήραγγας σε έναν αποδεκτό ομότιμο ή να εγκρίνει δρομολογημένο υποδίκτυο γι' αυτόν. Το αν η υλοποίηση μετά απορρίπτει πακέτο του οποίου η εσωτερική προέλευση ανήκει σε άλλον πελάτη είναι ιδιότητα αυτής της υλοποίησης, και αξίζει να το ελέγξετε αντί να το υποθέσετε.
Ο παραδοσιακός κώδικας διακομιστή χώρου χρήστη του Community OpenVPN μπορεί, για παράδειγμα, να απορρίψει προέλευση που σχετίζεται με άλλον πελάτη πριν το πακέτο παραδοθεί μέσω της συσκευής TUN. Αυτός είναι έλεγχος κυριότητας διεύθυνσης με πραγματική αξία, και εξακολουθεί να μην είναι πιστοποίηση χρήστη NFS, γιατί δεν λέει τίποτα για το ποιος λογαριασμός εκτελεί τη λειτουργία.
Η μετάφραση προέλευσης διαβρώνει ακόμη και αυτό. Μια πύλη NAT μπορεί να παρουσιάσει κάθε πελάτη ως μία διεύθυνση, οπότε ένας κανόνας εξαγωγής δεν μπορεί να ξεχωρίσει τους ανθρώπους πίσω της. Η φαινομενική ακρίβεια του κανόνα γίνεται τότε μυθοπλασία που τη συντηρεί το διάγραμμα. Αν η εξαγωγή μετράει, κρατήστε τη διευθυνσιοδότηση ρητή αντί να αφήνετε έναν μεταφραστή να αποφασίζει ποιος μετράει ως ποιος.
Διαβάστε το προφίλ ασφαλείας πριν εμπιστευτείτε την εξαγωγή
Η καθοδήγηση της Red Hat για το NFS διαχωρίζει το sec=sys, που χρησιμοποιεί τοπικά UID και GID του UNIX μέσω AUTH_SYS, από τις λειτουργίες Kerberos. Το krb5 προσθέτει πιστοποίηση χρήστη, το krb5i προσθέτει προστασία ακεραιότητας και το krb5p προσθέτει προστασία ιδιωτικότητας για την κίνηση.
Τα διαπιστευτήρια AUTH_SYS περιέχουν πεδία όπως το UID του καλούντος και αναγνωριστικά ομάδων, και το RFC 5531 προειδοποιεί ρητά ότι αυτό το προφίλ δεν παρέχει ασφάλεια από μόνο του και εξαρτάται από εξωτερική προστασία. Η εκτέλεσή του μέσα σε VPN παρέχει προστασία για τη μεταφορά και δεν αλλάζει τίποτα στον ισχυρισμό μέσα στο πακέτο.
exportfs -v
showmount -e nfs.example.internalΔιαβάστε το προφίλ σε αυτή την έξοδο πριν διαβάσετε τη λίστα πελατών. Μια εξαγωγή που φαίνεται περιορισμένη μπορεί να περιορίζεται μόνο από τη διεύθυνση, ενώ κάθε καλών εξακολουθεί να δηλώνει όποιο UID θέλει.
Επιλέξτε το μοντέλο και μετά κρατήστε τα δικαιώματα
Επιλέξτε το μοντέλο πιστοποίησης της υπηρεσίας αρχείων που ταιριάζει στους πελάτες που πραγματικά διαχειρίζεστε. Το Kerberos απαιτεί ταυτότητα και ανάπτυξη υπηρεσίας πίσω του, οπότε η αλλαγή μιας επιλογής προσάρτησης δεν είναι μετανάστευση και απλώς θα αποτύχει μέχρι να υπάρξουν ο τομέας Kerberos, οι principals και τα keytabs.
Σε όποιο από τα δύο μοντέλα, κρατήστε τα δικαιώματα εξαγωγής και την εξουσιοδότηση του συστήματος αρχείων που περιορίζουν τι μπορεί να κάνει το πιστοποιημένο principal. Η πιστοποίηση σας λέει ποιος ρωτά· η εξουσιοδότηση αποφασίζει αν η απάντηση πρέπει να είναι ναι. Η συγχώνευση των δύο σε μία ρύθμιση είναι ο τρόπος με τον οποίο μια μετανάστευση καταλήγει να παρέχει περισσότερα από όσα έδινε η παλιά διαμόρφωση.
Χρησιμοποιήστε τον κανόνα διεύθυνσης για τον πραγματικό του σκοπό
Ο περιορισμός της υπηρεσίας στην εγκεκριμένη διαδρομή και τις εγκεκριμένες πηγές παραμένει χρήσιμος, συμπεριλαμβανομένης της πολιτικής εισόδου του κεντρικού υπολογιστή όταν το άκρο του VPN και ο διακομιστής NFS μοιράζονται το ίδιο μηχάνημα. Οι κανόνες που προωθούν κίνηση δεν διέπουν αιτήματα που απευθύνονται σε υπηρεσία που εκτελείται τοπικά στον ίδιο κεντρικό υπολογιστή. Αυτό το κενό εξηγεί έναν εκπληκτικό αριθμό εξαγωγών που προορίζονταν να είναι ιδιωτικές. Ελέγξτε ρητά την τοπική πολιτική εισόδου αντί να υποθέτετε ότι οι κανόνες της σήραγγας την καλύπτουν.
Ελέγξτε ότι άλλη διεπαφή ή πύλη με μετάφραση προέλευσης δεν μπορεί να ικανοποιήσει απροσδόκητα τον κανόνα, και θεωρήστε το λόγο για να τεκμηριώσετε την προέλευση και όχι ισχυρισμό ότι η πλαστογράφηση διεύθυνσης εγγυάται λειτουργική προσάρτηση.
Εκτελέστε τρεις περιπτώσεις αποδοχής αντί για μία. Ξεκινήστε με εγκεκριμένο πελάτη που ενεργεί ως εγκεκριμένος χρήστης, μετά επαναλάβετε από ομότιμο που δεν εγκρίθηκε ποτέ και έπειτα δοκιμάστε κάτι που ο εγκεκριμένος χρήστης ακόμη δεν επιτρέπεται να κάνει. Ρωτήστε μετά τι αλλάζει αν παραβιαστεί ένας εξουσιοδοτημένος πελάτης, γιατί η πιστοποίηση μεταφοράς δεν κάνει κάθε διεργασία σε εκείνο το μηχάνημα αξιόπιστη. Ένα κλεμμένο πιστοποιητικό και ένας περίεργος τοπικός λογαριασμός είναι διαφορετικά προβλήματα με διαφορετικούς ελέγχους.