あなたの VPN 鍵は誰でも読める状態です：修正すべきこと

最初の兆候は通常、障害ではなく警告です。ファイルがグループや全員に読めるためクライアントが鍵の読み込みを拒否するか、セキュリティレビューが、エクスポート済みバンドルも置かれたプロファイルディレクトリで client.key がモード 644 のまま見つけます。まだ何も壊れておらず、まさにそれが警告が軽視される理由です。鍵は機能し、トンネルは上がり、ファイルはマシン上のすべてのアカウントから読めます。

症状は権限の警告であり、停止ではありません

Unix 系システムでは、秘密鍵はサービスを実行するアカウントだけが読めるべきです。正しい所有者でのモード 600 が通常の設定です。モード 644 は、すべてのローカルユーザーが鍵をコピーできるという意味で、共有ビルドホストではそれが現実の読者層です。

これを確認するクライアントは親切です。確認しないクライアントはファイルが安全である証拠にはならず、接続が成功しても、それを可能にした素材を他に誰が読めるかは何も語りません。警告を発見のすべてとして扱ってください。警告は正確で、誰かがファイルをコピーする前に届いています。

モードをサービスの身元に合わせる

所有者だけのアクセスは、その所有者が使う鍵に適しています。意図的に共有グループを持つサービスには、サービスアカウントが所有する鍵へのグループ読み取りなど、別の管理された設定が必要な場合があります。すべてのファイルを盲目的に単一の数値モードにするのは、対応クライアントを壊し、 chmod -R 777 は何の解決にもなりません。

何かを変更する前に、所有者とサービスアカウントを確認してください。公開 CA 証明書と秘密の ID 鍵は、同じディレクトリにあっても秘匿性の要件が異なるため、フォルダ全体への再帰的なモードは両者を同じオブジェクトとして扱います。

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

他のプラットフォームでは、Unix のモードを推測に翻訳するのではなく、文書化された鍵ストアやアクセス制御モデルを使ってください。private で終わるファイル名はラベルであり、強制の仕組みではありません。

モードが対象にしないコピーを探す

エディタ、バックアップアーカイブ、エクスポートしたプロファイル、一時バンドルは、それぞれ同じ身元を保持できます。それらのコピーは内容に応じて保護してください、なぜなら元のファイルを締めても、先月の tar にあるコピーには何の効果もないからです。

鍵ファイルのパスフレーズ は保存された素材には役立ちますが、暗号化されたファイルをそのパスワードの隣に公開することを正当化しません。権限は現在のファイルシステムオブジェクトを守るもので、すでに他所へコピーされた資格情報については何も語りません。

作業を完了と宣言する前にコピーを探してください。 grep -rl ありそうなディレクトリで鍵のヘッダー行を、そしてバックアップの除外設定を確認し、結果は通常、最初に手にしたファイルより興味深いものです。

修正後は検証して交換する

想定したサービスがまだ認証できることを確認し、不要なアカウントがアクセスを得ていないことを確かめてください。診断出力はメタデータに限定してください、なぜなら ファイルが読めることを証明するのに鍵の印刷は不要 で、素材をログに残してしまうからです。

鍵が露出したなら、モードを締めてから資格情報を交換し、古いものを失効させてください。 POSIX chmod の仕様 は各モードビットの意味を説明しており、次のレビューで選んだ数値の根拠を求められる前に知っておく価値があります。