Otsinguõigus igas kataloogis enne võtit

Režiim 0600 ja õige omanik ei taga, et teenus saab võtit avada. Puuduv õigus on tavaliselt selle kohal olevas kataloogis. Linux lahendab tee ükshaaval iga komponendi kaupa ja iga samm nõuab otsinguõigust enne järgmise proovimist. Lugege kogu teed, mitte loendi viimast rida.

Lugemisõigus on viimane samm, mitte ainus

Faili avamine nõuab, et tuum läbiks juurest või töökataloogist tee iga komponendi. Otsinguõiguseta kataloog peatab selle läbimise õiguseveaga. Faili enda režiimi ei uurita kunagi, seega täiesti loetav võti näeb välja loetamatu. Viga tuleb sageli avamise hetkel kataloogi nimetamata, mistõttu süüdistatakse viimast faili.

Kataloogi puhul tähendab käivitusbitt otsimist, mitte sisu käivitamist. Võti jääb andmeteks ja ükski osa sellest parandusest ei nõua selle märkimist käivitatavaks.

Käige tee läbi teenusekontona

Loetlege iga komponent koos omaniku ja režiimiga, seejärel korrake lugemist teenuse tegeliku identiteedina. Teie shelli ja deemonori vahe on sageli kogu vastus. Järgige sümbollinke tegeliku sihtmärgini, sest kontrollitakse just lahendatud teed.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Teenus võib faile avada ka rohkem kui ühes faasis. Osa materjali loetakse privilegeeritud seadistamise ajal, samas kui teised failid avatakse pärast õiguste mahaviskamist. Faili lugev juurshell ei taasta hilisema töötaja juurdepääsu. Mount-nimeruum võib sama tee kohta näidata teistsugust vaadet, eriti konteineris, seega võrrelge deemonori failisüsteemi vaadet omaga.

Muutke kõige kitsamat sobivat õigust

Valige väikseim korraldus, mis annab protsessile juurdepääsu: kontrollitud rühm, millel on otsinguõigus vajalikel kataloogidel, hallatav asukoht, mille teenus juba omab, või mõni muu dokumenteeritud mehhanism. Faili lugemine ei nõua selle kataloogi kirjutamisõigust. Lai rühma kirjutamisõigus privilegeeritud konfiguratsioonil ei ole tavaline läbimise parandus. Rekursiivne 0777 ei ole samuti lahendus.

Kirjutage üles, millist komponenti muutsite ja miks. Põhjuseta õiguse muutust on raske üle vaadata ja lihtne unustada.

Vaadake režiimidest kaugemale alles pärast läbimist

Kui režiimibitid tunduvad piisavad, on ülejäänud kontrollid ACL-id, turbepoliitika ja sandboxi piirangud. ACL võib anda juurdepääsu, mille režiimibitid näivad puuduvat, või keelata juurdepääsu, mida need näivad lubavat. Need seaded kuuluvad olemasolevale konfiguratsiooni omanikule ja neid tuleks kohandada kitsalt, mitte välja lülitada. Juure või töökataloogi erinevus võib samuti selgitada absoluutset teed, mis ühes kontekstis töötab ja teises ebaõnnestub.

Ärge kaotage nägemust sellest, mis fail on, juurdepääsu parandades. CA-sertifikaat on disaini järgi avalik; privaatvõti ei ole. Failid, mida klient ümber kirjutab, vajavad samuti teistsuguseid kirjutamisõigusi kui identiteedivõti, mis on kirjutuskaitstud. Kontrollige metaandmeid saladusi trükkimata, seejärel kinnitage, et teenus ise töötab pärast muudatust. Lühike märge teenuse dokumentatsioonis säästab järgmisele inimesele sama läbimise.