Sykrjocht op elke map foar de kaai

Modus 0600 en de juste eigner garandearje net dat de tsjinst in kaai iepenje kin. De ûntbrekkende tastimming sit meastentiids op in map boppe. Linux lost in paad ien komponint tagelyk op, en elke stap freget sykrjocht foardat de folgjende besocht wurdt. Lês it hiele paad, net de lêste rigel fan 'e list.

Lêsrjocht is de lêste stap, net de iennichste

It iepenjen fan in bestân freget dat de kearn fan 'e woartel of de wurkmap troch elk komponint fan it paad giet. In map sûnder sykrjocht stopje dy gong mei in tastimmingsflater. De modus fan it bestân sels wurdt nea besjoen, dêrom liket in folslein lêsbere kaai net te lêzen. De flater komt faak by it iepenjen sûnder de map te neamen, en dêrom krijt it lêste bestân de skuld.

Foar in map betsjut it útfieringsbit sykjen, net it útfieren fan 'e ynhâld. In kaai bliuwt data, en gjin part fan dizze reparaasje freget om it útfierber te markearjen.

Rin it paad as it tsjinstakkoart

Lis elk komponint op mei syn eigner en modus, en werhelje dan it lêzen as de eigentlike tsjinstidentiteit. It ferskil tusken jo shell en de daemon is faak it hiele antwurd. Folgje symboalyske keppelings nei it echte doel, want it oploste paad is wat kontrolearre wurdt.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

In tsjinst kin bestannen ek yn mear as ien faze iepenje. Guod wurdt lêzen by de privilezjearre opset, wylst oare bestannen iepene wurde neidat privilezjes sakke binne. In root-shell dy't it bestân lêst, reprodusearret de tagong fan 'e lettere wurker net. In mount-namromte kin in oare werjefte fan itselde paad jaan, benammen yn in kontener, dêrom fergelykje jo de bestânssysteemwerjefte fan 'e daemon mei jo eigen.

Feroarje de smelste tastimming dy't past

Kies de lytste regeling dy't it proses tagong jout: in kontrolearre groep mei sykjen op de nedige mappen, in beheard plak dat de tsjinst al besit, of in oar dokumintearre meganisme. It lêzen fan in bestân freget gjin skriuwtastimming op syn map. Brede groepskriuwtastimming op privilezjearre konfiguraasje is gjin normale trochgongreparaasje. Rekursive 0777 is ek gjin oplossing.

Skriuw op hokker komponint jo feroare hawwe en wêrom. In tastimmingsferoaring sûnder fêstleine reden is dreech te kontrolearjen en maklik te ferjitten.

Sjoch foarby modi pas nei de gong

As de modusbits genôch lykje, binne de oerbleaune kontrôles ACL's, befeiligingsbelied en sandbox-beheiningen. In ACL kin tagong jaan dy't de modusbits as ûntbrekkend oanjaan, of tagong wegerje dy't se lykje ta te stean. Dy ynstellingen hearre by de besteande konfiguraasjeeigner, en se moatte smel bysteld wurde ynstee fan útskeakele. In ferskil yn woartel of wurkmap kin ek in absolút paad ferklearje dat yn ien kontekst wurket en yn in oare mislearret.

Ferlies net út it each wat it bestân is wylst jo tagong reparearje. In CA-sertifikaat is iepenbier fan ûntwerp; in priveekaai is dat net. Bestannen dy't de klant oerskriuwt, hawwe ek oare skriuwrjochten nedich as in identiteitskaai dy't allinnich lêzen wurde kin. Besjoch metadata sûnder geheimnissen te printsjen, en befêstigje dan dat de tsjinst sels nei de feroaring wurket. In koarte notysje yn 'e tsjinstdokumintaasje sparret de folgjende persoan deselde gong.