તમારી VPN કી દરેક માટે વાંચી શકાય છે: શું સુધારવું

પ્રથમ સંકેત સામાન્ય રીતે ચેતવણી હોય છે, નિષ્ફળતા નહીં. કોઈ ક્લાયન્ટ કી લોડ કરવાનો ઇનકાર કરે છે કારણ કે ફાઇલ જૂથ અથવા બધા માટે વાંચી શકાય છે, અથવા સુરક્ષા સમીક્ષામાં client.key નિકાસ કરેલા બંડલ પણ ધરાવતી પ્રોફાઇલ ડિરેક્ટરીમાં 644 મોડમાં મળે છે. હજી કંઈ તૂટ્યું નથી, અને એટલે જ ચેતવણીને ગણકારવામાં આવતી નથી. કી કામ કરે છે, ટનલ ઉપર આવે છે, અને ફાઇલ મશીનના દરેક એકાઉન્ટ માટે વાંચી શકાય છે.

લક્ષણ પરવાનગી ચેતવણી છે, અટકાવ નહીં

યુનિક્સ જેવી સિસ્ટમમાં ખાનગી કી ફક્ત તે એકાઉન્ટ માટે વાંચી શકાય જે સેવા ચલાવે છે. યોગ્ય માલિક સાથે 600 મોડ સામાન્ય ગોઠવણ છે. 644 મોડનો અર્થ છે કે દરેક સ્થાનિક વપરાશકર્તા કીની નકલ કરી શકે છે, અને શેર કરેલા બિલ્ડ હોસ્ટ પર તે વાસ્તવિક પ્રેક્ષકો છે.

જે ક્લાયન્ટ આ ચકાસે છે તેઓ તમારા પર ઉપકાર કરે છે. જે ચકાસતા નથી તે ફાઇલ સુરક્ષિત હોવાનો પુરાવો નથી, અને સફળ કનેક્શન એ વિશે કંઈ કહેતું નથી કે બીજું કોણ તે સામગ્રી વાંચી શકે જેણે તેને શક્ય બનાવી. ચેતવણીને આખું નિષ્કર્ષ ગણો. તે સચોટ છે, અને કોઈએ ફાઇલની નકલ કરે તે પહેલાં આવી છે.

મોડને સેવાની ઓળખ સાથે મેળવો

ફક્ત માલિકની ઍક્સેસ તે માલિકની કી માટે યોગ્ય છે. જાણી જોઈને શેર કરેલા જૂથવાળી સેવાને બીજી નિયંત્રિત ગોઠવણની જરૂર પડે છે, જેમ કે સેવા એકાઉન્ટની માલિકીની કી પર જૂથ વાંચન. દરેક ફાઇલને આંધળા ઢંગે એક જ સંખ્યાત્મક મોડ પર મૂકવાથી સમર્થિત ક્લાયન્ટ તૂટે છે, અને chmod -R 777 કંઈનું સમાધાન નથી.

કંઈ પણ બદલતા પહેલાં માલિક અને સેવા એકાઉન્ટ ચકાસો. જાહેર CA પ્રમાણપત્રો અને ખાનગી ઓળખ કીઓની ગુપ્તતાની જરૂરિયાતો અલગ હોય છે, પછી ભલે તેઓ એક જ ડિરેક્ટરીમાં હોય, તેથી આખા ફોલ્ડર પર લાગુ પુનરાવર્તિત મોડ બંનેને એક જ ઑબ્જેક્ટ ગણે છે.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

બીજા પ્લેટફોર્મ પર, યુનિક્સ મોડને અનુમાનમાં અનુવાદિત કરવાને બદલે દસ્તાવેજીકૃત કી સ્ટોર અથવા ઍક્સેસ-નિયંત્રણ મોડેલ વાપરો. private થી અંત થતું ફાઇલનામ લેબલ છે, અમલીકરણની પદ્ધતિ નહીં.

મોડ જે નકલોને આવરી લેતો નથી તે શોધો

એડિટર, બેકઅપ આર્કાઇવ, નિકાસ કરેલા પ્રોફાઇલ અને કામચલાઉ બંડલ દરેક એક જ ઓળખ રાખી શકે છે. તે નકલોને તેમની સામગ્રી પ્રમાણે સુરક્ષિત કરો, કારણ કે મૂળ ફાઇલને ચુસ્ત કરવાથી ગયા મહિનાના ટાર્બોલમાંની નકલ માટે કંઈ થતું નથી.

કી ફાઇલ પરનો પાસફ્રેઝ સંગ્રહિત સામગ્રી માટે ઉપયોગી છે અને એન્ક્રિપ્ટેડ ફાઇલને તેના પાસવર્ડની બાજુમાં પ્રકાશિત કરવાનું વાજબી ઠેરવતો નથી. પરવાનગીઓ વર્તમાન ફાઇલસિસ્ટમ ઑબ્જેક્ટનું રક્ષણ કરે છે; બીજે પહેલેથી નકલ કરેલી ઓળખ માહિતી વિશે તેઓ કંઈ કહેતી નથી.

કામ પૂરું જાહેર કરતા પહેલાં નકલો શોધો: grep -rl સંભવિત ડિરેક્ટરીઓમાં કીની હેડર લાઇન, અને બેકઅપ બાકાતી પર નજર. પરિણામ સામાન્ય રીતે તમે શરૂ કરેલી ફાઇલ કરતાં વધુ રસપ્રદ હોય છે.

સુધારા પછી, ચકાસો અને બદલો

ચકાસો કે ઇચ્છિત સેવા હજી પ્રમાણીકરણ કરે છે, પછી ખાતરી કરો કે કોઈ બિનજરૂરી એકાઉન્ટને ઍક્સેસ મળ્યો નથી. ડાયગ્નોસ્ટિક આઉટપુટને મેટાડેટા સુધી મર્યાદિત રાખો, કારણ કે ફાઇલ વાંચી શકાય તે સાબિત કરવા કી છાપવાની જરૂર નથી અને તે સામગ્રીને લોગમાં નાખે છે.

જો કી ખુલ્લી પડી હોય, તો મોડ ચુસ્ત કરો, પછી ઓળખ માહિતી બદલો અને જૂની રદ કરો. POSIX chmod સ્પેસિફિકેશન સમજાવે છે કે દરેક મોડ બિટનો અર્થ શું છે, જે આગલી સમીક્ષા તમે પસંદ કરેલી સંખ્યાને ન્યાયી ઠેરવવા કહે તે પહેલાં જાણવા જેવું છે.