Kuidas kontrollida IPsec-i olekut võtmeid avaldamata

IPsec-i olekudump ei ole olekuraport, ja just niimoodi koheldes jõuab võtmematerjal avalikku probleemide jälgijasse. Osa tuuma kontrollimise väljundist sisaldab liiklusvõtmeid, mida tuum kasutab, koos aadresside, valijate ja loenduritega, mis on tõesti kasulikud. Ohutu harjumus on koguda kõigepealt kokkuvõte ja haarata toorese oleku järele alles siis, kui kokkuvõte ei suuda küsimusele vastata. Kui pead siiski tooreset olekut vaatama, vaata seda kohapeal ja jaga midagi kitsamat.

Kontroll 1: kas see artefakt saab masinast üldse lahkuda

Konfiguratsioonifail, privaatvõti, piiramatu paketipüük ja toorese oleku dump on kõik saladused, kuni pole tõestatud vastupidist. Käsk, mis prindib võtmeid, ei muutu ohutuks sellepärast, et käivitasid selle diagnostikaks.

Reegel on piisavalt lihtne, et öelda see ühes lauses: jaga tähelepanekut, mis vastab küsimusele, mitte masina olekut, mis selle tekitas.

Kontroll 2: vali kokkuvõtte käsk, mitte olekudump

strongSwanil näitab swanctl --list-sas assotsiatsiooni kokkuvõtet: identiteedid, paigaldatud tütar-SA-d, olekud ja loendurid. See ei nõua tooreset võtmedumpi ja see on esimene asi, mida piletisse kleepida. Tuuma poolel toetab iproute2 ip xfrm state list nokeys versioonides, mis seda valikut dokumenteerivad, mis vaigistab võtmematerjali, säilitades assotsiatsiooni väljad.

Kinnita süntaks kohalikus käsiraamatus enne, kui sellele lootma hakkad, sest valik ei ole igas väljaandes olemas ja üldine olekuloend ilma selleta on teine käsk teistsuguse väljundiga. ip xfrm state käivitamine vanal buildil, et näha, kas lipp on olemas, on täpselt see viga, millest see kontroll-loend räägib.

Kontroll 3: kirjuta üles ainult see, mida uurimine vajab

Assotsiatsiooni olek, algoritmid, valijad, ajatemplid, suund ja asjakohased loendurid on tavaliselt piisavad. Kontoidentiteedid, avalikud aadressid ja sisemine topoloogia sageli ei ole, ja neid saab redigeerida ilma diagnostilist väärtust kaotamata.

Redigeeri vaikimisi ja lisa soovi korral tagasi. Sinu piletit lugev inimene võib küsida veel ühte välja; kuid kleepitud võtit ei saa ta enam mitte nähtuks teha.

On olemas kesktee, mida tasub teada: ka kokkuvõte võib olla tundlik. Identiteedid, partneri aadressid ja tütar-SA-de nimed kirjeldavad sinu topoloogiat ja mõnes organisatsioonis on see iseenesest piiratud teave. Otsusta enne kleepimist, kes on publik, ja eelista õige juurdepääsukontrolliga kanalit avaliku probleemi asemel. Ohutu käsk ei ole sama mis ohutu sihtkoht.

Kontroll 4: seo üks katse mõlemas otsas

Jäädvusta klient ja lüüs sama ühenduskatse jaoks samal ajal ning veendu, et assotsiatsioon, mida kirjeldad, on see, mille too katse tekitas. Vananenud tütar-SA-i segamine varasemast katsest värske marsruuditõmmisega annab raporti, mis on sisemiselt sidus ja täiesti eksitav.

Tuvasta assotsiatsioon selle unikaalsete identifikaatorite järgi, mitte tunneli järgi, ja märgi tõrke suund. Kui sümptom on liikluse puudumine ühes suunas, ütle, millises, ja lisa kahjutu test-sihtkoht, et lugeja saaks tee üle arutleda, mitte oletada. Loendur, mis on ühes suunas null ja teises kasvab lokaliseerib probleemi palju paremini kui ükski võtmedump. Hoia ajatemplid ühes ajavööndis ja ütle, millises.

Kontroll 5: mida teha, kui materjal on juba avalikuks saanud

Manuse kustutamine ei tõesta, et keegi seda ei hoidnud, ja avalikku kleepu kopeeritakse kiiresti.

Käsitle seda intsidendina ja kasuta operaatori asendusprotsessi: pööra mõjutatud võtmed või volitused, kontrolli, kas paljastus tähendab laiemat kompromissi, ja järgi kehtivat teavitusteekonda. Tehniline puhastus on lihtne osa; eeldus, et keegi seda ei lugenud, on raske osa.

Kestev tava on väike mall, mille täidad enne kleepimist: milline ots, milline assotsiatsiooni identifikaator, milline suund, milline loendur ja mis on juba välistatud. swanctl list-sas dokumentatsioon kirjeldab kokkuvõtte välju ja seda enamik piletitest tegelikult vajab. Kõik muu on soovi korral kättesaadav sellele, kes seda vajab. Diagnostiline raport peaks sisaldama tõendeid, mitte juurdepääsu.