A VPN-kulcsa mindenki számára olvasható: mit kell javítani

Az első jel általában figyelmeztetés, nem hiba. Egy kliens megtagadja a kulcs betöltését, mert a fájl a csoport vagy mindenki számára olvasható, vagy egy biztonsági átvizsgálás client.key fájlt talál 644-es módban egy profilkönyvtárban, amely exportált csomagokat is tartalmaz. Még semmi nem hibázott, és éppen ezért hagyja figyelmen kívül a figyelmeztetést mindenki. A kulcs működik, az alagút felépül, és a fájlt a gép minden fiókja olvashatja.

A tünet engedélyfigyelmeztetés, nem kiesés

Unix-szerű rendszeren egy privát kulcsot csak a szolgáltatást futtató fióknak szabad olvasnia. A 600-as mód a megfelelő tulajdonossal a szokásos elrendezés. A 644-es mód azt jelenti, hogy bármely helyi felhasználó lemásolhatja a kulcsot, és egy megosztott build-gazdagépen ez valódi közönség.

Az ezt ellenőrző kliensek szívességet tesznek Önnek. Azok, amelyek nem ellenőrzik, nem bizonyítják, hogy a fájl biztonságos, és egy sikeres kapcsolat semmit sem mond arról, ki más olvashatja azt az anyagot, amely lehetővé tette. Kezelje a figyelmeztetést a teljes leletként. Pontos, és még azelőtt érkezett, hogy bárki lemásolta volna a fájlt.

Igazítsa a módot a szolgáltatás identitásához

A csak tulajdonosi hozzáférés az általa használt kulcshoz illik. Egy szándékosan megosztott csoporttal rendelkező szolgáltatásnak más szabályozott elrendezésre lehet szüksége, például csoportos olvasásra egy szolgáltatásfiók tulajdonában lévő kulcson. Az összes fájl vakon egyetlen numerikus módra állítása elrontja a támogatott klienseket, és chmod -R 777 semmire sem megoldás.

Bármilyen változtatás előtt ellenőrizze a tulajdonost és a szolgáltatásfiókot. A nyilvános CA-tanúsítványoknak és a privát identitáskulcsoknak eltérő titoktartási követelményeik vannak, még akkor is, ha ugyanabban a könyvtárban vannak, ezért a teljes mappára alkalmazott rekurzív mód ugyanazon objektumként kezeli őket.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Más platformokon használja a dokumentált kulcstárat vagy hozzáférés-vezérlési modellt, ahelyett hogy a Unix-módokat találgatássá fordítaná. A private-re végződő fájlnév címke, nem kényszerítő mechanizmus.

Keresse meg a mód által nem lefedett másolatokat

A szerkesztők, biztonsági mentési archívumok, exportált profilok és ideiglenes csomagok mindegyike megőrizheti ugyanazt az identitást. Védje ezeket a másolatokat tartalmuk szerint, mert az eredeti fájl szigorítása semmit sem tesz a múlt havi tar-archívumban lévőért.

A kulcsfájlon lévő jelmondat hasznos a tárolt anyagokhoz, és nem indokolja a titkosított fájl közzétételét a jelszava mellett. Az engedélyek az aktuális fájlrendszer-objektumot védik; semmit sem mondanak egy máshova már átmásolt hitelesítő adatról.

Keresse meg a másolatokat, mielőtt késznek nyilvánítja a munkát: grep -rl a kulcs fejlécsorát a valószínű könyvtárakban, és vessen egy pillantást a biztonsági mentés kizárásaira. Az eredmény általában érdekesebb, mint a fájl, amellyel kezdte.

A javítás után ellenőrizze és cserélje

Tesztelje, hogy a kívánt szolgáltatás továbbra is hitelesít, majd erősítse meg, hogy egyetlen szükségtelen fiók sem kapott hozzáférést. Korlátozza a diagnosztikai kimenetet metaadatokra, mert a kulcs kinyomtatása nem szükséges a fájl olvashatóságának bizonyításához és az anyagot naplóba teszi.

Ha a kulcs nyilvánosságra került, szigorítsa a módot, majd cserélje ki a hitelesítő adatot, és vonja vissza a régit. A POSIX chmod specifikációja elmagyarázza, mit jelent minden módbit, amit érdemes tudni, mielőtt a következő átvizsgálás megkéri, hogy indokolja a választott számot.