ProtectHome da TOTP iri: me ya sa shiga VPN ke gazawa

App ɗin tantancewa yana nuna sabon lamba mai lambobi shida, VPN ɗin yana ƙin ta, kuma ita ce lambar da ke tabbatarwa lafiya idan ka gwada ta daga shell ɗinka. Wannan gibin shine dukan labarin. PAM module da ba zai iya buɗe sirrin rajista ba yana mayar da gazawa wacce take kama da lambar da ba daidai ba, kuma yanayin sabis ɗin da ke ɓoye manyan kundayen gida shine sanadin da ya zama ruwan dare. Kafin ka sassauta kowace izini, yanke shawara wanne daga cikin yanayi uku kake ciki.

Wanne daga cikin gazawa uku ne wannan?

Na farko sirri ne da module ɗin ba zai iya karantawa kwata-kwata ba. Na biyu sirri ne da zai iya karantawa amma ba zai iya sabunta shi ba. Na uku lamba ce da ta yi kuskure da gaske, yawanci saboda karkatar agogo ko ƙimar da aka sake amfani da ita.

Raba su ta hanyar karanta tarihin sabis ɗin da tarihin tantancewar tsarin don ƙoƙari ɗaya da ya gaza, sannan tabbatar da wanne sabis ɗin PAM ne plugin ɗin ke lodawa da wane layin module ne wannan sabis ɗin ke amfani da shi. Saƙon gazawar tantancewa na gama-gari ba ya bambance su, haka ma gwajin hannu mai nasara, domin shell ɗinka ba yanayin sabis ɗin ba ne.

Ra'ayin tsarin fayil na unit ɗin shine mai laifi da aka saba idan sabis ɗin ne kaɗai ke gazawa.

systemctl show -p ProtectHome -p ProtectSystem -p ReadWritePaths [email protected]
ls -l /var/lib/vpn-otp/*/.google_authenticator 2>/dev/null | head -n 20

Zaɓi A: fitar da sirrin daga gidan

Lokacin da sabis ɗin ke ɓoye /home kuma ka fi so ka riƙe wannan kariyar, ajiye sirrin a wurin da zai iya ganinsa. Module ɗin yana karɓar hanyar secret= da asusun user= wanda ke yin ayyukan fayil, wanda ke barin babban ajiya ya yi hidima ga mutane da yawa.

Wannan shine zaɓi mai tsabta, kuma shine wanda ya fi buƙatar kulawa, domin ajiyar da aka raba tana mai da jagora guda ɗaya iyakar tsaro ga kowane asusu.

auth required pam_google_authenticator.so secret=/var/lib/vpn-otp/${USER}/.google_authenticator user=vpn-otp

Duba abubuwa uku kafin ka amince da shi: asusun yana nan, aikin module ɗin zai iya canjawa zuwa gare shi, kuma fayilolin nasa ne da ƙuntataccen yanayi. Kada ka yi amfani da ~ ko hanyar sauyin gida tare da user=, kuma kada ka kashe binciken mallaka na module ɗin don sa hanya ta yi aiki. Riƙe matakin kalmar sirri da sauran tarin lafiya.

Zaɓi B: bar fayil ɗin ka buɗe hanya

Idan sirrin dole ya zauna a gidan mai amfani, unit ɗin yana buƙatar ra'ayi da ya haɗa da wannan jagora ɗaya ba tare da fallasa kowane gida a kan uwar garken ba. Drop-in zai iya ƙara ƙaramin haɗin bind a ƙarƙashin gidan da aka yi sandbox.

Wannan yana riƙe mallaka ga kowane mai amfani a matsayin tsari, a kan kuɗin canjin unit wanda dole a sake duba shi duk lokacin da sandbox ɗin ya canza.

Iyakoki biyu suna da sauƙin tsallakewa. Hanyar karatu kawai da aka ƙara ƙarƙashin jagorar da sandbox ɗin ke ɓoyewa ba ya fallasa ta, domin iyayen ba ya nan. Kuma haɗin dole ya zama mai rubutu idan module ɗin zai sabunta yanayi, wanda ke kawo zaɓi na gaba cikin wasa. Rubuta drop-in a matsayin fayil daban maimakon gyara unit ɗin da aka fakiti a ƙarƙashin /usr/lib, domin haɓakar fakiti kada ta soke shi a hankali.

Zaɓi C: riƙe sandbox ɗin ka gyara rubutun yanayi

Karanta sirrin rabin tantancewa ne kawai. Module ɗin na iya sake rubuta bayanin karkatar lokaci, kariyar sake kunnawa ko ƙididdiga, kuma fayil da ya wuce binciken karatu zai iya gazawa a rubutu har yanzu.

Wannan gazawar tana kama da mummunar lamba a ƙoƙari na gaba ba a wannan ba, shi ya sa ake ruɗe ta da karkatar agogo.

Ba shi jagora mai rubutu nata ka nuna hanyar sirrin zuwa can, maimakon mai da dukan gidan mai rubutu. Tabbatar da mai jagorar, sararin da ba kowa a tsarin fayil da ko unit ɗin yana ƙuntata rubutu a wani wuri. Sannan gwada shiga biyu a jere, domin na biyu yana tabbatar da hanyar rubutu na farko kuma yana tabbatar da karatu kawai.

Tabbatar a matsayin sabis ɗin, ba a matsayin kanka ba

Kowane bincike mai muhimmanci dole ya gudana cikin sandbox ɗin unit ɗin da asalin unit ɗin.

Umarni da ke yin nasara a matsayin root yana gaya maka fayil ɗin yana nan ba wani abu kuma. Shiga ta ainihin sabis ɗin yana gaya maka ko module ɗin zai iya karanta sirrin, amfani da shi da sake rubuta abin da yake buƙata.

A ƙarshe, riƙe buƙatar lafiya. Ƙara zaɓin kalmar sirri mara komai, karɓar gazawar karatu kawai ko cire sandbox ɗin duk za su sa alamun ya ɓace ta hanyar canza manufar. Mai amfani da ake buƙatar ya gabatar da lamba ya kamata a ƙi shi har yanzu idan ba a iya samun sirrin ba.