Hakukäyttöoikeus joka hakemistossa ennen avainta

Tila 0600 ja oikea omistaja eivät takaa, että palvelu voi avata avaimen. Puuttuva käyttöoikeus on yleensä sitä ylempänä olevassa hakemistossa. Linux ratkaisee polun yksi komponentti kerrallaan, ja jokainen vaihe tarvitsee hakukäyttöoikeuden ennen seuraavan yrittämistä. Lue koko polku, älä listauksen viimeistä riviä.

Lukukäyttöoikeus on viimeinen vaihe, ei ainoa

Tiedoston avaaminen edellyttää, että ydin kulkee juuresta tai työhakemistosta polun jokaisen komponentin läpi. Hakemisto ilman hakukäyttöoikeutta pysäyttää tämän kulun käyttöoikeusvirheeseen. Tiedoston omaa tilaa ei koskaan tutkita, joten täysin luettava avain näyttää lukukelvottomalta. Virhe tulee usein avaamisen yhteydessä nimeämättä hakemistoa, minkä vuoksi viimeistä tiedostoa syytetään.

Hakemistolle suoritusbitti tarkoittaa hakua, ei sisällön suorittamista. Avain pysyy datana, eikä mikään osa tästä korjauksesta vaadi sen merkitsemistä suoritettavaksi.

Käy polku läpi palvelutilinä

Listaa jokainen komponentti omistajineen ja tiloineen ja toista sitten lukeminen palvelun todellisena identiteettinä. Ero kuoresi ja daemonin välillä on usein koko vastaus. Seuraa symboliset linkit todelliseen kohteeseen, koska ratkaistua polkua tarkistetaan.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Palvelu voi avata tiedostoja myös useammassa kuin yhdessä vaiheessa. Osa materiaalista luetaan etuoikeutetun asennuksen aikana, kun taas toiset tiedostot avataan sen jälkeen, kun oikeudet on pudotettu. Tiedoston lukeva root-kuori ei toista myöhemmän työntekijän pääsyä. Liitoksen nimiavaruus voi näyttää samasta polusta erilaisen näkymän, erityisesti kontin sisällä, joten vertaa daemonin tiedostojärjestelmänäkymää omaasi.

Muuta kapeinta riittävää käyttöoikeutta

Valitse pienin järjestely, joka antaa prosessille pääsyn: valvottu ryhmä, jolla on haku tarvittavissa hakemistoissa, hallittu sijainti, jonka palvelu jo omistaa, tai muu dokumentoitu mekanismi. Tiedoston lukeminen ei vaadi kirjoitusoikeutta sen hakemistoon. Laaja ryhmän kirjoitusoikeus etuoikeutettuun kokoonpanoon ei ole tavallinen läpikulun korjaus. Rekursiivinen 0777 ei ole ratkaisu sekään.

Kirjaa, mitä komponenttia muutit ja miksi. Käyttöoikeuden muutos ilman kirjattua syytä on vaikea tarkistaa ja helppo unohtaa.

Katso tilojen ohi vasta läpikulun jälkeen

Jos tilabitit näyttävät riittäviltä, jäljellä olevat tarkistukset ovat ACL:t, tietoturvakäytäntö ja sandbox-rajoitukset. ACL voi antaa pääsyn, jonka tilabitit näyttävät puuttuvan, tai estää pääsyn, jonka ne näyttävät sallivan. Ne asetukset kuuluvat nykyiselle kokoonpanon omistajalle, ja ne pitäisi säätää kapeasti eikä kytkeä pois. Juuren tai työhakemiston ero voi myös selittää absoluuttisen polun, joka toimii yhdessä yhteydessä ja epäonnistuu toisessa.

Älä menetä käsitystä siitä, mikä tiedosto on, kun korjaat pääsyä. CA-varmenne on julkiseksi suunniteltu; yksityinen avain ei ole. Tiedostot, jotka asiakas kirjoittaa uudelleen, tarvitsevat myös erilaiset kirjoitusoikeudet kuin vain luettava identiteettiavain. Tarkastele metatietoja tulostamatta salaisuuksia ja vahvista sitten, että palvelu itse toimii muutoksen jälkeen. Lyhyt merkintä palvelun dokumentaatiossa säästää seuraavalta ihmiseltä saman läpikulun.