Teie VPN-võti on kõigile loetav: mida parandada

Esimene märk on tavaliselt hoiatus, mitte rike. Klient keeldub võtit laadimast, sest fail on loetav grupi või kõigi jaoks, või leiab turbekontroll client.key režiimil 644 profiilikaustast, kus on ka eksporditud paketid. Midagi pole veel katki läinud, ja just seetõttu jäetakse hoiatus tähelepanuta. Võti töötab, tunnel tõuseb ja fail on loetav iga masina konto jaoks.

Sümptom on õiguste hoiatus, mitte katkestus

Unixi-laadses süsteemis peaks privaatvõti olema loetav ainult teenust käitava konto jaoks. Õige omanikuga režiim 600 on tavaline korraldus. Režiim 644 tähendab, et iga kohalik kasutaja saab võtit kopeerida, ja jagatud build-hostis on see tõeline publik.

Kliendid, kes seda kontrollivad, teevad teile teene. Need, kes ei kontrolli, ei ole tõestus, et fail on turvaline, ja edukas ühendus ei ütle midagi selle kohta, kes veel saab lugeda materjali, mis selle võimalikuks tegi. Käsitlege hoiatust kogu leiuna. See on täpne ja saabus enne, kui keegi faili kopeeris.

Sobitage režiim teenuse identiteediga

Ainult omaniku juurdepääs sobib võtmele, mida see omanik kasutab. Teadlikult jagatud grupiga teenusel võib vaja minna teistsugust kontrollitud korraldust, näiteks grupilugemist teenusekontole kuuluvale võtmele. Kõigi failide pimesi ühele numbrilisele režiimile seadmine rikub toetatud kliente ja chmod -R 777 ei ole millegi lahendus.

Kontrollige omanikku ja teenusekontot enne, kui midagi muudate. Avalikud CA-sertifikaadid ja privaatsed identiteedivõtmed on erinevate salastatuse nõuetega ka siis, kui need asuvad samas kaustas, seega kogu kaustale rakendatav rekursiivne režiim kohtleb neid sama objektina.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Teistel platvormidel kasutage dokumenteeritud võtmehoidlat või juurdepääsukontrolli mudelit, mitte ärge tõlkige Unixi režiime oletuseks. Failinimi, mis lõpeb private-iga, on silt, mitte jõustamismehhanism.

Leidke koopiad, mida režiim ei kata

Toimetajad, varundusarhiivid, eksporditud profiilid ja ajutised paketid võivad igaüks säilitada sama identiteedi. Kaitske neid koopiaid nende sisu järgi, sest originaalfaili pingutamine ei tee midagi eelmise kuu tar-arhiivis oleva koopia heaks.

Võtmefaili paroolifraas on kasulik salvestatud materjali jaoks ega õigusta krüpteeritud faili avaldamist selle parooli kõrval. Õigused kaitsevad praegust failisüsteemi objekti; need ei ütle midagi juba mujale kopeeritud mandaadi kohta.

Otsige koopiad enne, kui kuulutate töö tehtuks: grep -rl võtme päiserea tõenäolistes kaustades ja pilk varunduse välistustele. Tulemus on tavaliselt huvitavam kui fail, millega alustasite.

Pärast parandust kontrollige ja vahetage

Testige, et kavandatud teenus endiselt autendib, seejärel kinnitage, et ükski mittevajalik konto ei saanud juurdepääsu. Piirake diagnostika väljund metaandmetega, sest võtme printimine pole vajalik faili loetavuse tõestamiseks ja see paneb materjali logisse.

Kui võti oli paljastatud, pingutage režiimi, seejärel asendage mandaat ja tühistage vana. POSIX chmod spetsifikatsioon selgitab, mida iga režiimibitt tähendab, mida tasub teada enne, kui järgmine ülevaatus palub teil valitud numbrit põhjendada.