A súa clave VPN pode lela calquera: que corrixir

O primeiro sinal adoita ser un aviso, non unha avaría. Un cliente négase a cargar unha clave porque o ficheiro é lexible polo grupo ou por todos, ou unha revisión de seguridade atopa client.key con modo 644 nun directorio de perfil que tamén contén paquetes exportados. Aínda non fallou nada, e por iso mesmo descártase o aviso. A clave funciona, o túnel lévantase e o ficheiro é lexible por todas as contas da máquina.

O síntoma é un aviso de permisos, non unha caída

Nun sistema tipo Unix, unha clave privada debería ser lexible só pola conta que executa o servizo. Un modo 600 co propietario correcto é a disposición habitual. Un modo 644 significa que calquera usuario local pode copiar a clave, e nun host de compilación compartido iso é un público real.

Os clientes que comproban isto fanlle un favor. Os que non o comproban non son proba de que o ficheiro sexa seguro, e unha conexión correcta non di nada sobre quen máis pode ler o material que a fixo posible. Trate o aviso como o achado completo. É exacto e chegou antes de que ninguén copiase o ficheiro.

Axuste o modo á identidade do servizo

O acceso só do propietario encaixa cunha clave que usa ese propietario. Un servizo cun grupo compartido deliberadamente pode necesitar outra disposición controlada, como lectura de grupo nunha clave propiedade dunha conta de servizo. Fixar a cegas un único modo numérico en todos os ficheiros rompe os clientes compatibles, e chmod -R 777 non é a solución de nada.

Comprobe o propietario e a conta de servizo antes de cambiar nada. Os certificados CA públicos e as claves de identidade privadas teñen requisitos de segredo distintos aínda que estean no mesmo directorio, así que un modo recursivo aplicado a toda a carpeta trata ambos como se fosen o mesmo obxecto.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Noutras plataformas, use o almacén de claves ou o modelo de control de acceso documentado en lugar de traducir os modos Unix a unha conxectura. Un nome de ficheiro que remata en private é unha etiqueta, non un mecanismo de aplicación.

Atope as copias que o modo non cobre

Os editores, os arquivos de copia de seguridade, os perfís exportados e os paquetes temporais poden conservar cada un a mesma identidade. Protexa esas copias segundo o seu contido, porque apertar o ficheiro orixinal non fai nada pola do tarball do mes pasado.

Unha frase de contrasinal nun ficheiro de clave é útil para o material almacenado e non xustifica publicar o ficheiro cifrado xunto coa súa contrasinal. Os permisos protexen o obxecto actual do sistema de ficheiros; non din nada sobre unha credencial xa copiada noutro lugar.

Busque as copias antes de declarar o traballo rematado: grep -rl a liña de cabeceira da clave en directorios probables e unha ollada ás exclusións de copia de seguridade. O resultado adoita ser máis interesante que o ficheiro co que comezou.

Tras a corrección, verifique e renove

Comprobe que o servizo previsto segue autenticándose e logo confirme que ningunha conta innecesaria obtivo acceso. Limite a saída de diagnóstico a metadatos, porque imprimir a clave non fai falta para demostrar que o ficheiro é lexible e pon o material nun rexistro.

Se a clave quedou exposta, aperte o modo e logo substitúa a credencial e revogue a antiga. A especificación POSIX chmod explica que significa cada bit de modo, algo que convén saber antes de que a próxima revisión lle pida xustificar o número elixido.