VPN-avaimesi on kaikkien luettavissa: mitä korjata

Ensimmäinen merkki on yleensä varoitus, ei vika. Asiakas kieltäytyy lataamasta avainta, koska tiedosto on ryhmän tai kaikkien luettavissa, tai tietoturvatarkastus löytää client.key tilassa 644 profiilihakemistosta, jossa on myös vietyjä paketteja. Mitään ei ole vielä hajonnut, ja juuri siksi varoitus sivuutetaan. Avain toimii, tunneli nousee ja tiedosto on luettavissa jokaisella koneen tilillä.

Oire on käyttöoikeusvaroitus, ei katkos

Unix-tyyppisessä järjestelmässä yksityisen avaimen pitäisi olla luettavissa vain siltä tililtä, joka palvelua ajaa. Tila 600 oikealla omistajalla on tavallinen järjestely. Tila 644 tarkoittaa, että kuka tahansa paikallinen käyttäjä voi kopioida avaimen, ja jaetulla build-hostilla se on todellinen yleisö.

Asiakkaat, jotka tarkistavat tämän, tekevät sinulle palveluksen. Ne, jotka eivät tarkista, eivät ole todiste tiedoston turvallisuudesta, eikä onnistunut yhteys kerro mitään siitä, kuka muu voi lukea materiaalin, joka sen mahdollisti. Kohtele varoitusta koko löydöksenä. Se on täsmällinen ja saapui ennen kuin kukaan kopioi tiedoston.

Sovita tila palvelun identiteettiin

Vain omistajan käyttö sopii avaimelle, jota kyseinen omistaja käyttää. Palvelu, jolla on tarkoituksella jaettu ryhmä, voi tarvita toisen valvotun järjestelyn, kuten ryhmälukuoikeuden palvelutilin omistamaan avaimeen. Kaikkien tiedostojen sokea asettaminen yhteen numeeriseen tilaan rikkoo tuetut asiakkaat, eikä chmod -R 777 korjaa mitään.

Tarkista omistaja ja palvelutili ennen kuin muutat mitään. Julkisilla CA-varmenteilla ja yksityisillä identiteettiavaimilla on erilaiset salassapitovaatimukset, vaikka ne olisivat samassa hakemistossa, joten koko kansioon sovellettava rekursiivinen tila kohtelee molempia samana objektina.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Muilla alustoilla käytä dokumentoitua avainsäilöä tai käyttöoikeusmallia sen sijaan, että muuntaisit Unix-tiloja arvaukseksi. private-päätteinen tiedostonimi on nimike, ei valvontamekanismi.

Etsi kopiot, joita tila ei kata

Editorit, varmuuskopioarkistot, viedyt profiilit ja väliaikaiset paketit voivat kukin säilyttää saman identiteetin. Suojaa ne kopiot sisältönsä mukaan, sillä alkuperäisen tiedoston kiristäminen ei tee mitään viime kuun tar-arkistossa olevalle.

Avaintiedoston salalause on hyödyllinen tallennetulle materiaalille eikä oikeuta salatun tiedoston julkaisemista salasanansa vieressä. Käyttöoikeudet suojaavat nykyistä tiedostojärjestelmäobjektia; ne eivät kerro mitään jo muualle kopioidusta tunnistetiedosta.

Etsi kopiot ennen kuin julistat työn valmiiksi: grep -rl avaimen otsikkorivi todennäköisistä hakemistoista ja vilkaisu varmuuskopioiden poissulkemisiin. Tulos on yleensä kiinnostavampi kuin tiedosto, jolla aloitit.

Korjauksen jälkeen: tarkista ja vaihda

Testaa, että aiottu palvelu todentaa edelleen, ja varmista sitten, ettei mikään tarpeeton tili saanut käyttöoikeutta. Rajoita diagnostiikkatuloste metatietoihin, koska avaimen tulostaminen ei ole tarpeen tiedoston luettavuuden todistamiseksi ja se vie materiaalin lokiin.

Jos avain on paljastunut, kiristä tila ja vaihda sitten tunnistetieto ja peruuta vanha. POSIX chmod -määritelmä selittää, mitä jokainen tilabitti tarkoittaa, mikä kannattaa tietää ennen kuin seuraava tarkastus pyytää sinua perustelemaan valitsemasi luvun.