Serĉpermeso en ĉiu dosierujo antaŭ la ŝlosilo

Modo 0600 kaj la ĝusta posedanto ne garantias, ke la servo povas malfermi ŝlosilon. La mankanta permeso kutime estas en dosierujo super ĝi. Linux solvas vojon unu komponanton post la alia, kaj ĉiu paŝo bezonas serĉpermeson antaŭ ol la sekva estas provata. Legu la tutan vojon, ne la lastan linion de la listo.

Legpermeso estas la lasta paŝo, ne la sola

Malfermi dosieron postulas, ke la kerno iru de la radiko aŭ la labora dosierujo tra ĉiu komponanto de la vojo. Dosierujo sen serĉpermeso haltigas tiun trairon per permesa eraro. La propra modo de la dosiero neniam estas konsultata, do tute legebla ŝlosilo aspektas nelegebla. La eraro ofte venas ĉe malfermado sen nomi la dosierujon, kaj tial oni kulpigas la lastan dosieron.

Por dosierujo, la plenum-bito signifas serĉon, ne plenumon de la enhavo. Ŝlosilo restas datumoj, kaj neniu parto de ĉi tiu riparo postulas marki ĝin plenumebla.

Trapaŝu la vojon kiel la servo-konto

Listigu ĉiun komponanton kun ĝia posedanto kaj modo, poste ripetu la legadon kiel la reala servo-identeco. La diferenco inter via ŝelo kaj la demono ofte estas la tuta respondo. Sekvu simbolajn ligilojn al la reala celo, ĉar la solvita vojo estas tio, kio estas kontrolata.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Servo ankaŭ povas malfermi dosierojn en pli ol unu fazo. Iom da materialo estas legata dum privilegia agordo, dum aliaj dosieroj estas malfermataj post kiam privilegioj estas forlasitaj. Radika ŝelo, kiu legas la dosieron, ne reproduktas la aliron de la posta laboranto. Muntada nomspaco povas prezenti alian vidon de la sama vojo, precipe ene de ujo, do komparu la dosiersisteman vidon de la demono kun via.

Ŝanĝu la plej mallarĝan permeson, kiu taŭgas

Elektu la plej malgrandan aranĝon, kiu donas aliron al la procezo: kontrolata grupo kun serĉo en la necesaj dosierujoj, administrata loko, kiun la servo jam posedas, aŭ alia dokumentita mekanismo. Legi dosieron ne postulas skribpermeson en ĝia dosierujo. Larĝa grupa skribpermeso en privilegia agordo ne estas normala riparo de trairo. Rekursiva 0777 ankaŭ ne estas solvo.

Notu, kiun komponanton vi ŝanĝis kaj kial. Permesŝanĝo sen notita kialo estas malfacile reviziata kaj facile forgesata.

Rigardu preter modojn nur post la trairo

Se la modaj bitoj ŝajnas sufiĉaj, la ceteraj kontroloj estas ACL, sekureca politiko kaj sablujaj limigoj. ACL povas doni aliron, kiun la modaj bitoj supozigas mankanta, aŭ nei aliron, kiun ili ŝajne permesas. Tiuj agordoj apartenas al la ekzistanta agorda posedanto, kaj ili devus esti ĝustigataj mallarĝe anstataŭ tute malŝaltataj. Radika aŭ labora dosieruja diferenco ankaŭ povas klarigi absolutan vojon, kiu funkcias en unu kunteksto kaj malsukcesas en alia.

Ne perdu la vidon de tio, kio estas la dosiero, dum vi riparas aliron. CA-atestilo estas publika laŭ dezajno; privata ŝlosilo ne estas. Dosieroj, kiujn la kliento reskribas, ankaŭ bezonas aliajn skribrajtojn ol identeca ŝlosilo, kiu estas nurlega. Kontrolu metadatenojn sen presi sekretojn, poste konfirmu, ke la servo mem funkcias post la ŝanĝo. Mallonga noto en la serva dokumentaro ŝparas al la sekva persono la saman trairon.