IPsec-tilan tarkastaminen julkaisematta sen avaimia
Yhdistelmäkoosteet ja avaimet vaimentavat listaukset antavat tilan ilman itse materiaalia. Raaka ydinvedos voi sisältää liikenneavaimia, osoitteita ja valitsimia.
IPsec-tilavedos ei ole tilanneraportti, ja juuri sellaisena sen kohteleminen johtaa siihen, että avainmateriaali päätyy julkiseen ongelmajäljittimeen. Jotkin ytimen tarkastuksen tulosteet sisältävät liikenneavaimet, joita ydin käyttää, sekä osoitteita, valitsimia ja laskureita, jotka ovat aidosti hyödyllisiä. Turvallinen tapa on kerätä ensin kooste ja tarttua raakaan tilaan vasta, kun kooste ei pysty vastaamaan kysymykseen. Jos sinun on silti katsottava raakaa tilaa, katso sitä paikallisesti ja jaa jotain kapeampaa.
Tarkistus 1: voiko tämä artefakti ylipäätään lähteä koneesta
Asetustiedosto, yksityinen avain, rajoittamaton paketinkaappaus ja raaka tilavedos ovat kaikki salaisuuksia, kunnes toisin todistetaan. Komento, joka tulostaa avaimia, ei muutu turvalliseksi sillä, että ajoit sen diagnostiikkaa varten.
Sääntö on tarpeeksi yksinkertainen sanottavaksi yhdessä lauseessa: jaa havainto, joka vastaa kysymykseen, älä koneen tilaa, joka sen tuotti.
Tarkistus 2: valitse koostekomento, älä tilavedosta
strongSwanille swanctl --list-sas näyttää yhdistelmäkoosteen: identiteetit, asennetut lapsi-SA:t, tilat ja laskurit. Se ei vaadi raakaa avainvedosta, ja se on ensimmäinen asia, joka liitetään tikettiin. Ytimen puolella iproute2 tukee ip xfrm state list nokeys-komentoa versioissa, jotka dokumentoivat valinnan, mikä vaimentaa avainmateriaalin ja säilyttää yhdistelmän kentät.
Vahvista syntaksi paikallisesta käsikirjasta ennen kuin luotat siihen, koska valinta ei ole jokaisessa julkaisussa, ja yleinen tilaluettelo ilman sitä on eri komento, jolla on eri tuloste. ip xfrm state-komennon ajaminen vanhassa buildissa lipun olemassaolon katsomiseksi on täsmälleen se virhe, josta tämä tarkistuslista kertoo.
Tarkistus 3: kirjaa vain se, mitä tutkinta tarvitsee
Yhdistelmän tila, algoritmit, valitsimet, aikaleimat, suunta ja olennaiset laskurit riittävät yleensä. Tilitunnukset, julkiset osoitteet ja sisäinen topologia eivät usein riitä, ja ne voi peittää menettämättä diagnostista arvoa.
Peitä oletuksena ja lisää takaisin pyynnöstä. Tikettiäsi lukeva voi pyytää vielä yhden kentän; mutta hän ei voi tehdä liitettyä avainta näkemättömäksi.
On välimuoto, joka kannattaa tuntea: myös kooste voi olla arkaluonteinen. Identiteetit, vertaisosoitteet ja lapsi-SA:iden nimet kuvaavat topologiaasi, ja joissakin organisaatioissa se itsessään on rajoitettua tietoa. Päätä ennen liittämistä, kuka on yleisö, ja suosi oikein käyttöoikeuksin suojattua kanavaa julkisen ongelman sijaan. Turvallinen komento ei ole sama asia kuin turvallinen kohde.
Tarkistus 4: korreloi yksi yritys molemmissa päissä
Kaappaa asiakas ja yhdyskäytävä samasta yhteysyrityksestä samaan aikaan ja varmista, että kuvaamasi yhdistelmä on se, jonka kyseinen yritys tuotti. Vanhentuneen lapsi-SA:n sekoittaminen aiemmasta yrityksestä tuoreeseen reittitilannekuvaan tuottaa raportin, joka on sisäisesti johdonmukainen ja täysin harhaanjohtava.
Tunnista yhdistelmä sen yksilöllisistä tunnisteista, älä tunnelista, ja merkitse vian suunta. Jos oireena on liikenteen puuttuminen yhteen suuntaan, sano kumpaan suuntaan ja lisää harmiton testikohde, jotta lukija voi pohtia reittiä arvaamisen sijaan. Laskuri, joka on nolla toiseen suuntaan ja kasvaa toiseen paikantaa ongelman paljon paremmin kuin mikään avainvedos. Pidä aikaleimat yhdessä aikavyöhykkeessä ja sano missä.
Tarkistus 5: mitä tehdä, jos materiaali on jo paljastunut
Liitteen poistaminen ei todista, ettei kukaan säilyttänyt sitä, ja julkinen liittäminen kopioituu nopeasti.
Käsittele sitä tapahtumana ja käytä operaattorin korvausprosessia: kierrätä vaikutuksen kohteena olevat avaimet tai tunnukset, tarkista, merkitseekö paljastuminen laajempaa kompromissia, ja seuraa soveltuvaa ilmoituspolkua. Tekninen siivous on helppo osa; oletus, ettei kukaan lukenut sitä, on vaikea osa.
Kestävä käytäntö on pieni mallipohja, jonka täytät ennen liittämistä: mikä pää, mikä yhdistelmätunniste, mikä suunta, mikä laskuri ja mitä on jo suljettu pois. swanctl list-sas -dokumentaatio kuvaa koosteen kentät, ja sitä useimmat tiketit todella tarvitsevat. Kaikki muu on saatavilla pyynnöstä sitä tarvitsevalle. Diagnostisen raportin tulisi sisältää todisteita, ei pääsyä.