Su clave VPN la puede leer cualquiera: qué corregir

La primera señal suele ser una advertencia, no una avería. Un cliente se niega a cargar una clave porque el archivo es legible por el grupo o por todos, o una revisión de seguridad encuentra client.key con modo 644 en un directorio de perfil que también contiene paquetes exportados. Todavía no ha fallado nada, y por eso mismo se descarta la advertencia. La clave funciona, el túnel se levanta y el archivo es legible por todas las cuentas de la máquina.

El síntoma es una advertencia de permisos, no una caída

En un sistema tipo Unix, una clave privada solo debería ser legible por la cuenta que ejecuta el servicio. Un modo 600 con el propietario correcto es la disposición habitual. Un modo 644 significa que cualquier usuario local puede copiar la clave, y en un host de compilación compartido eso es un público real.

Los clientes que comprueban esto le hacen un favor. Los que no lo comprueban no son prueba de que el archivo sea seguro, y una conexión correcta no dice nada sobre quién más puede leer el material que la hizo posible. Trate la advertencia como el hallazgo completo. Es exacta y llegó antes de que nadie copiara el archivo.

Ajuste el modo a la identidad del servicio

El acceso solo del propietario encaja con una clave que usa ese propietario. Un servicio con un grupo compartido deliberadamente puede necesitar otra disposición controlada, como lectura de grupo en una clave propiedad de una cuenta de servicio. Fijar a ciegas un solo modo numérico en todos los archivos rompe los clientes compatibles, y chmod -R 777 no es la solución de nada.

Compruebe el propietario y la cuenta de servicio antes de cambiar nada. Los certificados CA públicos y las claves de identidad privadas tienen requisitos de secreto distintos aunque estén en el mismo directorio, así que un modo recursivo aplicado a toda la carpeta trata ambos como si fueran el mismo objeto.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

En otras plataformas, use el almacén de claves o el modelo de control de acceso documentado en lugar de traducir los modos Unix a una conjetura. Un nombre de archivo que termina en private es una etiqueta, no un mecanismo de aplicación.

Encuentre las copias que el modo no cubre

Los editores, los archivos de copia de seguridad, los perfiles exportados y los paquetes temporales pueden conservar cada uno la misma identidad. Proteja esas copias según su contenido, porque apretar el archivo original no hace nada por la del tarball del mes pasado.

Una frase de contraseña en un archivo de clave es útil para el material almacenado y no justifica publicar el archivo cifrado junto a su contraseña. Los permisos protegen el objeto actual del sistema de archivos; no dicen nada sobre una credencial ya copiada en otro lugar.

Busque las copias antes de declarar el trabajo terminado: grep -rl la línea de cabecera de la clave en directorios probables y un vistazo a las exclusiones de copia de seguridad. El resultado suele ser más interesante que el archivo con el que empezó.

Tras la corrección, verifique y renueve

Compruebe que el servicio previsto sigue autenticándose y luego confirme que ninguna cuenta innecesaria obtuvo acceso. Limite la salida de diagnóstico a metadatos, porque imprimir la clave no hace falta para demostrar que el archivo es legible y coloca el material en un registro.

Si la clave quedó expuesta, apriete el modo y luego sustituya la credencial y revoque la antigua. La especificación POSIX chmod explica qué significa cada bit de modo, algo que conviene saber antes de que la próxima revisión le pida justificar el número elegido.