Ձեր VPN բանալին բոլորի համար ընթեռնելի է. ինչ ուղղել

Առաջին նշանը սովորաբար նախազգուշացում է, ոչ թե խափանում։ Հաճախորդը հրաժարվում է բեռնել բանալին, որովհետև ֆայլը ընթեռնելի է խմբի կամ բոլորի համար, կամ անվտանգության ստուգումը գտնում է client.key 644 ռեժիմով պրոֆիլի պանակում, որտեղ կան նաև արտահանված փաթեթներ։ Դեռ ոչինչ չի խափանվել, և հենց դրա համար է նախազգուշացումը անտեսվում։ Բանալին աշխատում է, թունելը բարձրանում է, և ֆայլը ընթեռնելի է մեքենայի յուրաքանչյուր հաշվի համար։

Ախտանիշը թույլտվության նախազգուշացում է, ոչ թե ընդհատում

Unix-անման համակարգում մասնավոր բանալին պետք է ընթեռնելի լինի միայն այն հաշվի համար, որն աշխատեցնում է ծառայությունը։ 600 ռեժիմը ճիշտ տիրոջ հետ սովորական կարգավորում է։ 644 ռեժիմը նշանակում է, որ ցանկացած տեղական օգտատեր կարող է պատճենել բանալին, իսկ համօգտագործվող build հոսթում դա իրական լսարան է։

Այն հաճախորդները, որոնք ստուգում են դա, ձեզ լավություն են անում։ Նրանք, որոնք չեն ստուգում, ապացույց չեն, որ ֆայլը անվտանգ է, և հաջող կապը ոչինչ չի ասում այն մասին, թե ով ուրիշը կարող է կարդալ այն նյութը, որ դա հնարավոր դարձրեց։ Վերաբերվեք նախազգուշացմանը որպես ամբողջ հայտնաբերում։ Այն ճշգրիտ է և եկել է նախքան որևէ մեկը պատճեներ ֆայլը։

Համապատասխանեցրեք ռեժիմը ծառայության ինքնությանը

Միայն տիրոջ հասանելիությունը հարմար է այդ տիրոջ օգտագործած բանալու համար։ Միտումնավոր ընդհանուր խմբով ծառայությանը կարող է պետք լինել այլ վերահսկվող կարգավորում, օրինակ՝ խմբային ընթերցում ծառայության հաշվին պատկանող բանալու վրա։ Բոլոր ֆայլերը կուրորեն մեկ թվային ռեժիմի դնելը կոտրում է աջակցվող հաճախորդներին, և chmod -R 777 ոչնչի լուծում չէ։

Նախքան ինչ-որ բան փոխելը ստուգեք տիրոջը և ծառայության հաշիվը։ Հանրային CA վկայագրերն ու մասնավոր ինքնության բանալիները տարբեր գաղտնիության պահանջներ ունեն, նույնիսկ երբ գտնվում են նույն պանակում, ուստի ամբողջ պանակի վրա կիրառված ռեկուրսիվ ռեժիմը երկուսին վերաբերվում է որպես նույն օբյեկտի։

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Այլ հարթակներում օգտագործեք փաստաթղթավորված բանալիների պահոցը կամ հասանելիության կառավարման մոդելը՝ Unix ռեժիմները գուշակության թարգմանելու փոխարեն։ private-ով ավարտվող ֆայլի անունը պիտակ է, ոչ թե կիրառման մեխանիզմ։

Գտեք այն պատճենները, որոնք ռեժիմը չի ծածկում

Խմբագրիչները, պահուստային արխիվները, արտահանված պրոֆիլները և ժամանակավոր փաթեթները կարող են յուրաքանչյուրը պահել նույն ինքնությունը։ Պաշտպանեք այդ պատճենները ըստ դրանց բովանդակության, որովհետև բնօրինակ ֆայլը խստացնելը ոչինչ չի անում անցյալ ամսվա tar-արխիվում եղածին։

Բանալու ֆայլի գաղտնաբառը օգտակար է պահված նյութի համար և չի արդարացնում գաղտնագրված ֆայլը դրա գաղտնաբառի կողքին հրապարակելը։ Թույլտվությունները պաշտպանում են ընթացիկ ֆայլային համակարգի օբյեկտը, դրանք ոչինչ չեն ասում արդեն այլ տեղ պատճենված հավատարմագրի մասին։

Փնտրեք պատճենները նախքան աշխատանքը ավարտված հայտարարելը. grep -rl բանալու վերնագրային տողը հավանական պանակներում, և հայացք պահուստային բացառություններին։ Արդյունքը սովորաբար ավելի հետաքրքիր է, քան այն ֆայլը, որով սկսել եք։

Ուղղումից հետո ստուգեք և փոխեք

Ստուգեք, որ նախատեսված ծառայությունը դեռ նույնականացնում է, ապա հաստատեք, որ ոչ մի ավելորդ հաշիվ հասանելիություն չի ստացել։ Սահմանափակեք ախտորոշիչ ելքը մետատվյալներով, որովհետև ֆայլի ընթեռնելիությունն ապացուցելու համար բանալին տպել պետք չէ և դա նյութը դնում է մատյանում։

Եթե բանալին բացահայտվել է, խստացրեք ռեժիմը, ապա փոխարինեք հավատարմագիրը և չեղարկեք հինը։ POSIX chmod բնութագիրը բացատրում է, թե ինչ է նշանակում ռեժիմի յուրաքանչյուր բիթը, ինչն արժե իմանալ նախքան հաջորդ ստուգումը ձեզնից կպահանջի հիմնավորել ընտրված թիվը։