თქვენი VPN გასაღები ყველასთვის წაკითხვადია: რა უნდა შეასწოროთ

პირველი ნიშანი ჩვეულებრივ გაფრთხილებაა და არა გაუმართაობა. კლიენტი უარს ამბობს გასაღების ჩატვირთვაზე, რადგან ფაილი ჯგუფისთვის ან ყველასთვის წაკითხვადია, ან უსაფრთხოების შემოწმება პოულობს client.key 644 რეჟიმში პროფილის საქაღალდეში, სადაც ექსპორტირებული პაკეტებიცაა. ჯერ არაფერი გაფუჭებულა და სწორედ ამიტომ უგულებელყოფენ გაფრთხილებას. გასაღები მუშაობს, გვირაბი ადის და ფაილი მანქანის ყველა ანგარიშისთვის წაკითხვადია.

სიმპტომი ნებართვის გაფრთხილებაა და არა შეწყვეტა

Unix-ის მსგავს სისტემაში პირადი გასაღები მხოლოდ იმ ანგარიშისთვის უნდა იყოს წაკითხვადი, რომელიც სერვისს უშვებს. 600 რეჟიმი სწორი მფლობელით ჩვეულებრივი წყობაა. 644 რეჟიმი ნიშნავს, რომ ნებისმიერ ლოკალურ მომხმარებელს შეუძლია გასაღების კოპირება, და საერთო build ჰოსტზე ეს ნამდვილი აუდიტორიაა.

კლიენტები, რომლებიც ამას ამოწმებენ, სიკეთეს გიკეთებენ. ისინი, რომლებიც არ ამოწმებენ, არ არის მტკიცებულება ფაილის უსაფრთხოებისა, და წარმატებული კავშირი არაფერს ამბობს იმაზე, ვის შეუძლია წაიკითხოს ის მასალა, რამაც ის შესაძლებელი გახადა. გაფრთხილებას მთლიან აღმოჩენად მოეკიდეთ. ის ზუსტია და მოვიდა მანამ, სანამ ვინმე ფაილს დააკოპირებდა.

რეჟიმი სერვისის იდენტობას შეუსაბამეთ

მხოლოდ მფლობელის წვდომა შეეფერება გასაღებს, რომელსაც ეს მფლობელი იყენებს. განზრახ საერთო ჯგუფის მქონე სერვისს შეიძლება სხვა კონტროლირებადი წყობა დასჭირდეს, მაგალითად ჯგუფური წაკითხვა სერვისის ანგარიშის საკუთრებაში არსებულ გასაღებზე. ყველა ფაილის ბრმად ერთ რიცხვით რეჟიმზე დაყენება ამტვრევს მხარდაჭერილ კლიენტებს, და chmod -R 777 არაფრის გადაწყვეტა არ არის.

სანამ რაიმეს შეცვლით, შეამოწმეთ მფლობელი და სერვისის ანგარიში. საჯარო CA სერტიფიკატებსა და პირადი იდენტობის გასაღებებს სხვადასხვა საიდუმლოების მოთხოვნები აქვთ, თუნდაც ერთ საქაღალდეში იყოს, ამიტომ მთელ საქაღალდეზე გამოყენებული რეკურსიული რეჟიმი ორივეს ერთ ობიექტად ეპყრობა.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

სხვა პლატფორმებზე გამოიყენეთ დოკუმენტირებული გასაღების საცავი ან წვდომის კონტროლის მოდელი, ნაცვლად იმისა, რომ Unix რეჟიმები გამოცნობად თარგმნოთ. private-ით დამთავრებული ფაილის სახელი იარლიყია და არა აღსრულების მექანიზმი.

იპოვეთ ის ასლები, რომლებსაც რეჟიმი არ ფარავს

რედაქტორებს, სარეზერვო არქივებს, ექსპორტირებულ პროფილებსა და დროებით პაკეტებს თითოეულს შეუძლია იგივე იდენტობის შენარჩუნება. დაიცავით ის ასლები მათი შიგთავსის მიხედვით, რადგან ორიგინალი ფაილის შემოჭერა არაფერს აკეთებს გასული თვის tar-არქივში არსებულისთვის.

გასაღების ფაილზე პაროლი სასარგებლოა შენახული მასალისთვის და არ ამართლებს დაშიფრული ფაილის გამოქვეყნებას მისი პაროლის გვერდით. ნებართვები იცავს მიმდინარე ფაილური სისტემის ობიექტს; ისინი არაფერს ამბობენ უკვე სხვაგან დაკოპირებულ სერტიფიკატზე.

მოძებნეთ ასლები, სანამ საქმეს დასრულებულად გამოაცხადებთ: grep -rl გასაღების სათაურის სტრიქონი სავარაუდო საქაღალდეებში და ხედი სარეზერვო გამონაკლისებზე. შედეგი ჩვეულებრივ უფრო საინტერესოა, ვიდრე ფაილი, რომლითაც დაიწყეთ.

შესწორების შემდეგ, გადაამოწმეთ და შეცვალეთ

შეამოწმეთ, რომ განკუთვნილი სერვისი კვლავ ავთენტიფიკაციას ახდენს, შემდეგ დაადასტურეთ, რომ არავითარ არასაჭირო ანგარიშს წვდომა არ მიუღია. დიაგნოსტიკური გამოსავალი მეტამონაცემებით შემოიფარგლეთ, რადგან ფაილის წაკითხვადობის დასამტკიცებლად გასაღების დაბეჭდვა არ არის საჭირო და ეს მასალას ჟურნალში ათავსებს.

თუ გასაღები გამჟღავნდა, შემოაჭირეთ რეჟიმი, შემდეგ შეცვალეთ სერტიფიკატი და გააუქმეთ ძველი. POSIX chmod-ის სპეციფიკაცია ხსნის, რას ნიშნავს რეჟიმის თითოეული ბიტი, რაც ღირს იცოდეთ სანამ შემდეგი შემოწმება მოგთხოვთ არჩეული რიცხვის დასაბუთებას.