Hogyan vizsgáljuk meg az IPsec állapotát a kulcsok közzététele nélkül

Az IPsec állapotkiírás nem állapotjelentés, és pontosan így kezelve kerül a kulcsanyag egy nyilvános hibakövetőbe. A kernel-ellenőrzés egyes kimenetei tartalmazzák a kernel által használt forgalmi kulcsokat, valamint olyan címeket, szelektorokat és számlálókat, amelyek valóban hasznosak. A biztonságos szokás az, hogy először az összegzést gyűjtjük össze, és csak akkor nyúlunk a nyers állapothoz, ha az összegzés nem tud válaszolni a kérdésre. Ha mégis meg kell nézni a nyers állapotot, nézzük helyben, és osszunk meg valami szűkebbet.

Ellenőrzés 1: egyáltalán elhagyhatja-e ez az artefaktum a gépet

Egy konfigurációs fájl, egy privát kulcs, egy korlátlan csomagrögzítés és egy nyers állapotkiírás mind titok, amíg az ellenkezője be nem bizonyosodik. Egy kulcsokat kiíró parancs nem lesz biztonságos attól, hogy diagnosztikához futtattuk.

A szabály elég egyszerű ahhoz, hogy egy mondatban elmondjuk: azt a megfigyelést osszuk meg, amelyik válaszol a kérdésre, nem azt a gépállapotot, amely létrehozta.

Ellenőrzés 2: az összegző parancsot válasszuk, ne az állapotkiírást

A strongSwan esetében a swanctl --list-sas az asszociáció összegzését mutatja: identitások, telepített gyermek SA-k, állapotok és számlálók. Nem igényli a nyers kulcskiírást, és ez az első dolog, amit egy jegybe be kell illeszteni. A kernel oldalán az iproute2 támogatja a ip xfrm state list nokeys parancsot azokban a verziókban, amelyek dokumentálják a kapcsolót, ami elrejti a kulcsanyagot, miközben megtartja az asszociáció mezőit.

Erősítsük meg a szintaxist a helyi kézikönyvben, mielőtt támaszkodnánk rá, mert a kapcsoló nem minden kiadásban van jelen, és egy általános állapotlista nélküle más parancs, más kimenettel. A ip xfrm state futtatása egy régi builden, hogy lássuk, létezik-e a kapcsoló, pontosan az a hiba, amiről ez az ellenőrzőlista szól.

Ellenőrzés 3: csak azt rögzítsük, amire a vizsgálatnak szüksége van

Az asszociáció állapota, az algoritmusok, a szelektorok, az időbélyegek, az irány és a vonatkozó számlálók általában elegendők. A fiókidentitások, a nyilvános címek és a belső topológia gyakran nem, és ezek diagnosztikai érték elvesztése nélkül kitakarhatók.

Alapértelmezés szerint takarjunk ki, és kérésre tegyük vissza. A jegyünket olvasó kérhet még egy mezőt; de egy beillesztett kulcsot nem tud nem látottá tenni.

Van egy középút, amit érdemes ismerni: egy összegzés is lehet érzékeny. Az identitások, a partnerek címei és a gyermek SA-k nevei leírják a topológiánkat, és egyes szervezetekben ez önmagában is korlátozott információ. Döntsük el beillesztés előtt, ki a közönség, és részesítsük előnyben a megfelelő hozzáférés-vezérléssel rendelkező csatornát egy nyilvános hibajegy helyett. A biztonságos parancs nem ugyanaz, mint a biztonságos cél.

Ellenőrzés 4: egy kísérletet korreláljunk a két végén

Rögzítsük az ügyfelet és az átjárót ugyanahhoz a kapcsolódási kísérlethez, ugyanabban az időben, és győződjünk meg róla, hogy az asszociáció, amelyet leírunk, az, amelyet ez a kísérlet létrehozott. Egy korábbi kísérlet elavult gyermek SA-jának összekeverése egy friss útvonal-pillanatképpel belsőleg konzisztens és teljesen félrevezető jelentést eredményez.

Az asszociációt az egyedi azonosítói alapján azonosítsuk, ne az alagút alapján, és jegyezzük fel a hiba irányát. Ha a tünet az, hogy egyik irányban nincs forgalom, mondjuk meg, melyik irányban, és adjunk hozzá egy ártalmatlan tesztcélpontot, hogy az olvasó az útvonalról gondolkodhasson találgatás helyett. Egy számláló, amely az egyik irányban nulla, a másikban növekszik sokkal jobban lokalizálja a problémát, mint bármely kulcskiírás. Tartsuk az időbélyegeket egy időzónában, és mondjuk meg, melyikben.

Ellenőrzés 5: mit tegyünk, ha az anyag már nyilvánosságra került

A melléklet törlése nem bizonyítja, hogy senki nem őrizte meg, és egy nyilvános beillesztés gyorsan másolódik.

Kezeljük ezt incidensként, és használjuk az üzemeltető cserefolyamatát: forgassuk le az érintett kulcsokat vagy hitelesítő adatokat, ellenőrizzük, hogy a nyilvánosságra kerülés szélesebb kompromittálódást jelez-e, és kövessük az alkalmazandó értesítési utat. A technikai tisztítás a könnyű rész; az a feltevés, hogy senki nem olvasta, a nehéz.

A tartós gyakorlat egy kis sablon, amelyet beillesztés előtt kitöltünk: melyik vég, melyik asszociáció-azonosító, melyik irány, melyik számláló és mi van már kizárva. A swanctl list-sas dokumentációja leírja az összegzés mezőit, és erre van szüksége a legtöbb jegynek. Minden más kérésre elérhető annak, akinek szüksége van rá. Egy diagnosztikai jelentésnek bizonyítékot kell tartalmaznia, nem hozzáférést.