Kunci VPN Anda dapat dibaca semua orang: apa yang harus diperbaiki

Tanda pertama biasanya peringatan, bukan gangguan. Klien menolak memuat kunci karena berkas dapat dibaca grup atau semua orang, atau tinjauan keamanan menemukan client.key pada mode 644 di direktori profil yang juga berisi bundel hasil ekspor. Belum ada yang gagal, dan justru itu sebabnya peringatan diabaikan. Kunci berfungsi, terowongan naik, dan berkas dapat dibaca oleh setiap akun di mesin.

Gejalanya peringatan izin, bukan pemadaman

Di sistem mirip Unix, kunci privat seharusnya hanya dapat dibaca oleh akun yang menjalankan layanan. Mode 600 dengan pemilik yang benar adalah susunan biasa. Mode 644 berarti setiap pengguna lokal dapat menyalin kunci, dan di host build bersama itu audiens sungguhan.

Klien yang memeriksa hal ini berbuat baik kepada Anda. Yang tidak memeriksa bukan bukti berkas aman, dan koneksi yang berhasil tidak mengatakan apa pun tentang siapa lagi yang dapat membaca materi yang memungkinkannya. Perlakukan peringatan itu sebagai seluruh temuan. Peringatan itu akurat, dan datang sebelum ada yang menyalin berkas.

Cocokkan mode dengan identitas layanan

Akses hanya untuk pemilik cocok untuk kunci yang dipakai pemilik itu. Layanan dengan grup bersama yang disengaja mungkin memerlukan susunan terkendali lain, seperti baca grup pada kunci milik akun layanan. Menetapkan satu mode numerik secara membabi buta pada semua berkas merusak klien yang didukung, dan chmod -R 777 bukan solusi untuk apa pun.

Periksa pemilik dan akun layanan sebelum mengubah apa pun. Sertifikat CA publik dan kunci identitas privat punya persyaratan kerahasiaan berbeda meski berada di direktori yang sama, jadi mode rekursif pada seluruh folder memperlakukan keduanya sebagai objek yang sama.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Di platform lain, gunakan penyimpanan kunci atau model kontrol akses yang terdokumentasi alih-alih menerjemahkan mode Unix menjadi tebakan. Nama berkas yang berakhiran private adalah label, bukan mekanisme penegakan.

Temukan salinan yang tidak dicakup mode

Editor, arsip cadangan, profil hasil ekspor, dan bundel sementara masing-masing dapat menyimpan identitas yang sama. Lindungi salinan itu sesuai isinya, karena memperketat berkas asli tidak melakukan apa pun untuk yang ada di tar bulan lalu.

Frasa sandi pada berkas kunci berguna untuk materi tersimpan dan tidak membenarkan menerbitkan berkas terenkripsi di samping kata sandinya. Izin melindungi objek sistem berkas saat ini; izin tidak mengatakan apa pun tentang kredensial yang sudah disalin ke tempat lain.

Cari salinannya sebelum menyatakan pekerjaan selesai: grep -rl baris tajuk kunci di direktori yang mungkin, dan lihat pengecualian cadangan. Hasilnya biasanya lebih menarik daripada berkas yang Anda mulai.

Setelah perbaikan, verifikasi dan ganti

Uji bahwa layanan yang dituju masih mengautentikasi, lalu pastikan tidak ada akun tak perlu yang mendapat akses. Batasi keluaran diagnostik pada metadata, karena mencetak kunci tidak perlu untuk membuktikan berkas dapat dibaca dan itu menaruh materi di log.

Jika kunci terekspos, ketatkan mode, lalu ganti kredensial dan cabut yang lama. Spesifikasi POSIX chmod menjelaskan arti setiap bit mode, yang perlu diketahui sebelum tinjauan berikutnya meminta Anda membenarkan angka yang dipilih.