आपकी VPN कुंजी हर किसी के लिए पढ़ने योग्य है: क्या ठीक करें

पहला संकेत आमतौर पर चेतावनी होती है, खराबी नहीं। कोई क्लाइंट कुंजी लोड करने से मना कर देता है क्योंकि फ़ाइल समूह या सभी के लिए पढ़ने योग्य है, या सुरक्षा समीक्षा में client.key उस प्रोफ़ाइल निर्देशिका में 644 मोड पर मिलती है जिसमें निर्यात किए गए बंडल भी हैं। अभी तक कुछ विफल नहीं हुआ, और ठीक इसी कारण चेतावनी को खारिज कर दिया जाता है। कुंजी काम करती है, टनल उठती है, और फ़ाइल मशीन के हर खाते के लिए पढ़ने योग्य है।

लक्षण अनुमति की चेतावनी है, आउटेज नहीं

यूनिक्स जैसी प्रणाली में निजी कुंजी केवल उस खाते के लिए पढ़ने योग्य होनी चाहिए जो सेवा चलाता है। सही स्वामी के साथ 600 मोड सामान्य व्यवस्था है। 644 मोड का अर्थ है कि हर स्थानीय उपयोगकर्ता कुंजी की प्रतिलिपि बना सकता है, और साझा बिल्ड होस्ट पर यह वास्तविक दर्शक है।

जो क्लाइंट इसे जाँचते हैं वे आप पर उपकार करते हैं। जो नहीं जाँचते वे इस बात का प्रमाण नहीं हैं कि फ़ाइल सुरक्षित है, और सफल कनेक्शन इस बारे में कुछ नहीं कहता कि और कौन उस सामग्री को पढ़ सकता है जिसने इसे संभव बनाया। चेतावनी को ही पूरा निष्कर्ष मानें। यह सटीक है, और यह किसी के द्वारा फ़ाइल की प्रतिलिपि बनाए जाने से पहले आई।

मोड को सेवा की पहचान से मिलाएँ

केवल स्वामी की पहुँच उस कुंजी के लिए उपयुक्त है जिसे वही स्वामी उपयोग करता है। जानबूझकर साझा समूह वाली सेवा को दूसरी नियंत्रित व्यवस्था चाहिए हो सकती है, जैसे सेवा खाते के स्वामित्व वाली कुंजी पर समूह पठन। हर फ़ाइल को अंधाधुंध एक ही संख्यात्मक मोड पर रखना समर्थित क्लाइंट को तोड़ता है, और chmod -R 777 किसी चीज़ का समाधान नहीं है।

कुछ भी बदलने से पहले स्वामी और सेवा खाते की जाँच करें। सार्वजनिक CA प्रमाणपत्रों और निजी पहचान कुंजियों की गोपनीयता आवश्यकताएँ अलग होती हैं, भले ही वे एक ही निर्देशिका में हों, इसलिए पूरे फ़ोल्डर पर लागू पुनरावर्ती मोड दोनों को एक ही वस्तु मानता है।

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

अन्य प्लेटफ़ॉर्म पर यूनिक्स मोड को अनुमान में बदलने के बजाय प्रलेखित कुंजी भंडार या पहुँच-नियंत्रण मॉडल का उपयोग करें। private पर समाप्त होने वाला फ़ाइल नाम एक लेबल है, प्रवर्तन तंत्र नहीं।

उन प्रतियों को खोजें जिन्हें मोड कवर नहीं करता

संपादक, बैकअप अभिलेखागार, निर्यात किए गए प्रोफ़ाइल और अस्थायी बंडल प्रत्येक एक ही पहचान बनाए रख सकते हैं। उन प्रतियों को उनकी सामग्री के अनुसार सुरक्षित रखें, क्योंकि मूल फ़ाइल को कसने से पिछले महीने के टारबॉल वाली प्रति पर कुछ नहीं होता।

कुंजी फ़ाइल पर पासफ़्रेज़ संग्रहीत सामग्री के लिए उपयोगी है और एन्क्रिप्टेड फ़ाइल को उसके पासवर्ड के साथ प्रकाशित करने को उचित नहीं ठहराता। अनुमतियाँ वर्तमान फ़ाइलसिस्टम ऑब्जेक्ट की रक्षा करती हैं; वे कहीं और पहले से प्रतिलिपि किए गए क्रेडेंशियल के बारे में कुछ नहीं कहतीं।

काम पूरा घोषित करने से पहले प्रतियाँ खोजें: grep -rl संभावित निर्देशिकाओं में कुंजी की हेडर पंक्ति, और बैकअप बहिष्करणों पर एक नज़र। परिणाम आमतौर पर उस फ़ाइल से अधिक दिलचस्प होता है जिससे आपने शुरू किया था।

सुधार के बाद, सत्यापित करें और बदलें

जाँचें कि इच्छित सेवा अभी भी प्रमाणीकरण करती है, फिर पुष्टि करें कि किसी अनावश्यक खाते को पहुँच नहीं मिली। निदान आउटपुट को मेटाडेटा तक सीमित रखें, क्योंकि फ़ाइल के पढ़े जाने को सिद्ध करने के लिए कुंजी छापने की ज़रूरत नहीं है और यह सामग्री को लॉग में डाल देता है।

यदि कुंजी उजागर हुई है, तो मोड कसें, फिर क्रेडेंशियल बदलें और पुराने को निरस्त करें। POSIX chmod विनिर्देश बताता है कि प्रत्येक मोड बिट का क्या अर्थ है, जो अगली समीक्षा द्वारा चुनी गई संख्या को न्यायसंगत ठहराने से पहले जानना उपयोगी है।