VPN-lykillinn þinn er læsilegur öllum: hvað á að laga

Fyrsta merkið er venjulega viðvörun, ekki bilun. Biðlari neitar að hlaða lykli vegna þess að skráin er læsileg af hópnum eða öllum, eða öryggisúttekt finnur client.key í stillingu 644 í prófílamöppu sem inniheldur líka útfluttar pakkningar. Ekkert hefur bilað ennþá, og einmitt þess vegna er viðvöruninni hafnað. Lykillinn virkar, göngin rísa, og skráin er læsileg af hverjum reikningi á vélinni.

Einkennið er heimildarviðvörun, ekki bilun

Á Unix-líkum kerfum ætti einkalykill aðeins að vera læsilegur af reikningnum sem keyrir þjónustuna. Stilling 600 með réttum eiganda er venjulega fyrirkomulagið. Stilling 644 þýðir að hver staðbundinn notandi getur afritað lykilinn, og á sameiginlegum byggingarhýsli er það raunverulegur hópur.

Biðlarar sem athuga þetta gera þér greiða. Þeir sem gera það ekki eru ekki sönnun þess að skráin sé örugg, og vel heppnuð tenging segir ekkert um hverjir aðrir geta lesið efnið sem gerði hana mögulega. Líttu á viðvörunina sem alla niðurstöðuna. Hún er nákvæm og kom áður en nokkur afritaði skrána.

Lagaðu stillinguna að auðkenni þjónustunnar

Aðgangur eingöngu fyrir eiganda hentar lykli sem sá eigandi notar. Þjónusta með viljandi sameiginlegum hópi gæti þurft annað stýrt fyrirkomulag, eins og hóplestur á lykli sem þjónustureikningur á. Að setja allar skrár blint í eina tölulega stillingu brýtur studda biðlara, og chmod -R 777 er engin lausn á neinu.

Athugaðu eigandann og þjónustureikninginn áður en þú breytir einhverju. Opinber CA-vottorð og einkaaðgangslyklar hafa mismunandi kröfur um leynd, jafnvel þótt þau séu í sömu möppu, svo endurkvæm stilling á alla möppuna meðhöndlar þau sem sama hlutinn.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Á öðrum kerfum skaltu nota skjalfesta lykilgeymslu eða aðgangsstýringarlíkan í stað þess að þýða Unix-stillingar í ágiskun. Skráarnafn sem endar á private er merking, ekki framfylgdarkerfi.

Finndu afritin sem stillingin nær ekki yfir

Ritlar, öryggisafritaarkíf, útflutt prófíl og tímabundnar pakkningar geta hvert haldið sama auðkenni. Verndaðu þessi afrit eftir innihaldi þeirra, því að herða upprunalegu skrána gerir ekkert fyrir þá í tar-safninu frá síðasta mánuði.

Lykilorðssetning á lykilskrá er gagnleg fyrir geymt efni og réttlætir ekki birtingu dulkóðuðu skrárinnar við hlið lykilorðsins. Heimildir vernda núverandi skráarkerfis hlut; þær segja ekkert um skilríki sem þegar hefur verið afritað annars staðar.

Leitaðu að afritunum áður en þú lýsir verkinu lokið: grep -rl hauslínu lykilsins í líklegum möppum, og kíktu á undanþágur öryggisafrita. Niðurstaðan er venjulega áhugaverðari en skráin sem þú byrjaðir með.

Eftir lagfæringuna, staðfestu og skiptu

Prófaðu að fyrirhuguð þjónusta auðkenni sig enn, og staðfestu síðan að enginn óþarfur reikningur hafi fengið aðgang. Takmarkaðu greiningarúttak við lýsigögn, því að prenta lykilinn er ekki nauðsynlegt til að sanna að skráin sé læsileg og það setur efnið í annál.

Ef lykillinn var afhjúpaður, hertu stillinguna og skiptu síðan um skilríkið og afturkallaðu það gamla. POSIX chmod forskriftin útskýrir hvað hver stillingarbiti þýðir, sem er gott að vita áður en næsta úttekt biður þig að réttlæta töluna sem þú valdir.