Keresési jog minden könyvtáron a kulcs előtt

A 0600 mód és a megfelelő tulajdonos nem garantálja, hogy a szolgáltatás meg tudja nyitni a kulcsot. A hiányzó engedély általában egy fölötte lévő könyvtáron van. A Linux az útvonalat egyszerre egy összetevőnként oldja fel, és minden lépéshez keresési jog kell, mielőtt a következőt megkísérli. Olvassa el a teljes útvonalat, ne a lista utolsó sorát.

Az olvasási jog az utolsó lépés, nem az egyetlen

Egy fájl megnyitásához a kernelnek a gyökértől vagy a munkakönyvtártól az útvonal minden összetevőjén végig kell haladnia. A keresési jog nélküli könyvtár engedélyhibával állítja meg ezt a haladást. A fájl saját módját soha nem vizsgálják, ezért egy tökéletesen olvasható kulcs olvashatatlannak tűnik. A hiba gyakran megnyitáskor érkezik a könyvtár megnevezése nélkül, ezért a végső fájlt okolják.

Könyvtár esetén a végrehajtási bit keresést jelent, nem a tartalom végrehajtását. A kulcs adat marad, és a javítás egyetlen része sem igényli végrehajthatóként megjelölni.

Járja végig az útvonalat szolgáltatásfiókként

Sorolja fel az egyes összetevőket tulajdonosukkal és módjukkal, majd ismételje meg az olvasást a szolgáltatás tényleges identitásaként. A héja és a démon közötti különbség gyakran a teljes válasz. Kövesse a szimbolikus hivatkozásokat a valódi célhoz, mert a feloldott útvonalat ellenőrzik.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Egy szolgáltatás több fázisban is nyithat fájlokat. Egyes anyagokat kiemelt beállítás közben olvasnak, más fájlokat pedig a jogosultságok eldobása után nyitnak meg. A fájlt olvasó root héj nem reprodukálja a későbbi munkás hozzáférését. Egy csatolási névtér ugyanannak az útvonalnak más nézetét mutathatja, különösen konténeren belül, ezért hasonlítsa össze a démon fájlrendszer-nézetét a sajátjával.

A legszűkebb megfelelő engedélyt módosítsa

Válassza a legkisebb elrendezést, amely hozzáférést ad a folyamatnak: egy ellenőrzött csoportot keresési joggal a szükséges könyvtárakon, egy kezelt helyet, amely már a szolgáltatásé, vagy egy másik dokumentált mechanizmust. Egy fájl olvasása nem igényel írási jogot a könyvtárán. A kiemelt konfiguráció széles csoportos írási joga nem szokásos áthaladási javítás. A rekurzív 0777 sem megoldás.

Jegyezze fel, melyik összetevőt módosította és miért. A rögzített ok nélküli engedélymódosítást nehéz átvizsgálni és könnyű elfelejteni.

A módokon csak az áthaladás után nézzen túl

Ha a módbitek elegendőnek tűnnek, a fennmaradó ellenőrzések az ACL-ek, a biztonsági szabályzat és a sandbox korlátozásai. Egy ACL olyan hozzáférést adhat, amelyet a módbitek hiányzónak sugallnak, vagy megtagadhat olyan hozzáférést, amelyet engedélyezni látszanak. Ezek a beállítások a meglévő konfiguráció tulajdonosáé, és szűken kell hangolni őket a kikapcsolás helyett. A gyökér vagy munkakönyvtár eltérése is magyarázhat egy abszolút útvonalat, amely az egyik környezetben működik, a másikban pedig meghiúsul.

Ne veszítse szem elől, mi a fájl, miközben a hozzáférést javítja. A CA-tanúsítvány tervezés szerint nyilvános; a privát kulcs nem. A kliens által újraírt fájloknak is más írási jogokra van szükségük, mint a csak olvasható identitáskulcsnak. Vizsgálja meg a metaadatokat titkok kiírása nélkül, majd erősítse meg, hogy maga a szolgáltatás működik a változtatás után. A szolgáltatás dokumentációjában egy rövid megjegyzés megspórolja a következő embernek ugyanezt az áthaladást.