Leitarheimild á hverri möppu fyrir lykilinn

Hamur 0600 og réttur eigandi tryggja ekki að þjónustan geti opnað lykil. Vantaða heimildin er venjulega á möppu fyrir ofan. Linux leysir slóð eina einingu í einu, og hvert skref þarf leitarheimild áður en næsta er reynt. Lestu alla slóðina, ekki síðustu línu listans.

Lestarheimild er síðasta skrefið, ekki það eina

Að opna skrá krefst þess að kjarninn gangi frá rótinni eða vinnumöppunni í gegnum hverja einingu slóðarinnar. Mappa án leitarheimildar stöðvar þá göngu með heimildarvillu. Hamur skrárinnar sjálfrar er aldrei skoðaður, þannig að fullkomlega læsilegur lykill virðist ólæsilegur. Villan kemur oft við opnun án þess að nefna möppuna, og þess vegna er síðustu skránni kennt um.

Fyrir möppu þýðir keyrslubitið leit, ekki keyrsla á innihaldinu. Lykill er áfram gögn, og enginn hluti þessarar lagfæringar krefst þess að hann sé merktur keyranlegur.

Farðu slóðina sem þjónustureikningur

Listaðu hverja einingu með eiganda og ham, og endurtaktu síðan lesturinn sem raunveruleg auðkenni þjónustunnar. Munurinn á skelinni þinni og dæmoninum er oft allt svarið. Fylgdu tákntengingum að raunverulega markinu, því leysta slóðin er það sem er athugað.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Þjónusta getur líka opnað skrár í fleiri en einum áfanga. Eitthvað efni er lesið við forréttindauppsetningu, en aðrar skrár eru opnaðar eftir að forréttindum er sleppt. Root-skel sem les skrána endurgerir ekki aðgang síðari vinnumannsins. Tengingarnafnrými getur sýnt aðra sýn á sömu slóð, sérstaklega inni í gámi, svo berðu saman skráarkerfissýn dæmonsins við þína.

Breyttu þrengstu heimildinni sem passar

Veldu minnsta fyrirkomulagið sem gefur ferlinu aðgang: stýrðan hóp með leit á nauðsynlegum möppum, stýrðan stað sem þjónustan á þegar, eða aðra skjalfesta aðferð. Að lesa skrá krefst ekki skrifheimildar á möppuna hennar. Breið hópskilheimild á forréttindastillingu er ekki venjuleg leiðarlagfæring. Endurkvæmt 0777 er heldur ekki lausn.

Skráðu hvaða einingu þú breyttir og hvers vegna. Heimildarbreyting án skráðrar ástæðu er erfið yfirferðar og auðveld að gleyma.

Líttu fram hjá hámum aðeins eftir gönguna

Ef hamirbútar virðast nægilegir eru eftirfarandi athuganir ACL, öryggisstefna og sandbox-takmarkanir. ACL getur veitt aðgang sem hamirbútar benda til að vanti, eða neitað aðgang sem þeir virðast leyfa. Þessar stillingar tilheyra núverandi stillingareiganda og ætti að stilla þær þröngt í stað þess að slökkva á þeim. Munur á rót eða vinnumöppu getur líka skýrt algilda slóð sem virkar í einu samhengi og mistekst í öðru.

Ekki missa sjónar á því hvað skráin er á meðan þú lagar aðgang. CA-vottorð er opinbert að hönnun; einkalykill ekki. Skrár sem biðlarinn skrifar yfir þurfa líka aðrar skrifheimildir en auðkennislykill sem er aðeins læsilegur. Skoðaðu lýsigögn án þess að prenta leyndarmál, og staðfestu síðan að þjónustan sjálf virki eftir breytinguna. Stutt athugasemd í skjölum þjónustunnar sparar næsta manni sömu göngu.