Zure VPN gakoa edonork irakur dezake: zer konpondu

Lehen seinalea ohartarazpena izaten da sarritan, ez matxura. Bezero batek gakoa kargatzeari uzten dio fitxategia taldeak edo denek irakur dezaketelako, edo segurtasun berrikuspen batek client.key aurkitzen du 644 moduan, esportatutako paketeak ere dituen profileko direktorio batean. Oraindik ez da ezer huts egin, eta horrexegatik baztertzen da ohartarazpena. Gakoak funtzionatzen du, tunela altxatzen da, eta fitxategia makinako kontu guztiek irakur dezakete.

Sintoma baimen-ohartarazpena da, ez etendura

Unix motako sisteman, gako pribatu bat zerbitzua exekutatzen duen kontuak soilik irakurri beharko luke. Jabe egokiarekin 600 modua da ohiko konponbidea. 644 moduak esan nahi du edozein tokiko erabiltzailek gakoa kopia dezakeela, eta partekatutako build ostalari batean benetako publikoa da hori.

Hori egiaztatzen duten bezeroek mesede egiten dizute. Egiaztatzen ez dutenek ez dute frogatzen fitxategia segurua denik, eta konexio arrakastatsuak ez du ezer esaten materiala beste norrek irakur dezakeen. Hartu ohartarazpena aurkikuntza oso gisa. Zehatza da, eta fitxategia inork kopiatu aurretik iritsi zen.

Egokitu modua zerbitzuaren identitatera

Jabearentzako soilik den sarbidea jabe horrek erabiltzen duen gako baterako egokia da. Nahita partekatutako taldea duen zerbitzu batek beste antolamendu kontrolatu bat behar izan dezake, adibidez talde-irakurketa zerbitzu-kontu baten jabetzako gako batean. Fitxategi guztiak itsu-itsuan modu numeriko bakar batera jartzeak onartutako bezeroak hausten ditu, eta chmod -R 777 ez da ezeren konponbidea.

Egiaztatu jabea eta zerbitzu-kontua ezer aldatu aurretik. CA ziurtagiri publikoek eta identitate-gako pribatuek isilpekotasun-baldintza desberdinak dituzte direktorio berean egon arren, beraz karpeta osorako modu errekurtsiboak biak objektu berdin gisa tratatzen ditu.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Beste plataforma batzuetan, erabili dokumentatutako gako-biltegia edo sarbide-kontrol eredua Unix moduak ustezko bihurtu ordez. private-kin amaitzen den fitxategi-izena etiketa bat da, ez betearazte-mekanismo bat.

Aurkitu moduak estaltzen ez dituen kopiak

Editoreek, babeskopia-artxiboek, esportatutako profilek eta aldi baterako paketeek identitate bera gorde dezakete bakoitzak. Babestu kopiak haien edukiaren arabera, jatorrizko fitxategia estutzeak ez baitu ezer egiten joan den hilabeteko tar artxibokoarentzat.

Gako-fitxategi bateko pasahitza erabilgarria da gordetako materialerako eta ez du justifikatzen fitxategi zifratua pasahitzaren ondoan argitaratzea. Baimenek uneko fitxategi-sistemaren objektua babesten dute; ez dute ezer esaten beste nonbait dagoeneko kopiatutako kredentzial bati buruz.

Bilatu kopiak lana eginda dela adierazi aurretik: grep -rl gakoaren goiburu-lerroa ziurrenik diren direktorioetan, eta begiratu babeskopia-bazterketak. Emaitza hasieran erabili duzun fitxategia baino interesgarriagoa izan ohi da.

Konpondu ondoren, egiaztatu eta aldatu

Probatu aurreikusitako zerbitzuak oraindik autentifikatzen duela, eta gero berretsi beharrezkoa ez den kontu batek ere sarbiderik lortu ez duela. Mugatu diagnostiko-irteera metadatuetara, gakoa inprimatzea ez baita beharrezkoa fitxategia irakurgarria dela frogatzeko eta materiala erregistro batera eramaten du.

Gakoa agerian geratu bada, estutu modua, eta gero ordeztu kredentziala eta baliogabetu zaharra. POSIX chmod zehaztapenak modu-bakoitzaren esanahia azaltzen du, eta hori jakitea merezi du hurrengo berrikuspenak aukeratutako zenbakia justifikatzeko eskatzen dizunean.