Кілтке дейін әр каталогтағы іздеу рұқсаты

0600 режимі мен дұрыс иесі қызметтің кілтті аша алатынына кепілдік бермейді. Жетіспейтін рұқсат әдетте оның үстіндегі каталогта болады. Linux жолды бір уақытта бір құрамдас бойынша шешеді, және әр қадам келесісін байқамас бұрын іздеу рұқсатын қажет етеді. Бүкіл жолды оқыңыз, тізімнің соңғы жолын емес.

Оқу рұқсаты — соңғы қадам, бірақ жалғыз емес

Файлды ашу үшін ядро тамырдан немесе жұмыс каталогынан жолдың әр құрамдасы арқылы өтуі керек. Іздеу рұқсаты жоқ каталог бұл жүрісті рұқсат қатесімен тоқтатады. Файлдың өз режимі ешқашан қаралмайды, сондықтан толық оқылатын кілт оқылмайтындай көрінеді. Қате көбінесе ашу сәтінде каталогты атамай келеді, сондықтан соңғы файл кінәланады.

Каталог үшін орындау биті іздеуді білдіреді, мазмұнды орындауды емес. Кілт дерек болып қалады, және бұл жөндеудің ешбір бөлігі оны орындалатын деп белгілеуді талап етпейді.

Жолды қызмет тіркелгісі ретінде жүріп өтіңіз

Әр құрамдасты иесімен және режимімен тізіп шығыңыз, содан кейін оқуды қызметтің нақты бірегейлігі ретінде қайталаңыз. Сіздің қабығыңыз бен демон арасындағы айырмашылық көбінесе бүкіл жауап. Символдық сілтемелерді нақты мақсатқа дейін бақылаңыз, өйткені тексерілетін шешілген жол.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Қызмет файлдарды бірнеше кезеңде де аша алады. Кейбір материал артықшылықты реттеу кезінде оқылады, ал басқа файлдар артықшылықтар тасталғаннан кейін ашылады. Файлды оқитын root қабығы кейінгі жұмысшының қолжетімділігін қайталамайды. Тіркеу атау кеңістігі сол жолдың басқа көрінісін ұсынуы мүмкін, әсіресе контейнер ішінде, сондықтан демонның файлдық жүйе көрінісін өзіңізбен салыстырыңыз.

Сәйкес келетін ең тар рұқсатты өзгертіңіз

Процеске қолжетімділік беретін ең кіші ретті таңдаңыз: қажетті каталогтарда іздеуі бар бақыланатын топ, қызмет әлдеқашан иеленетін басқарылатын орын немесе басқа құжатталған механизм. Файлды оқу оның каталогына жазу рұқсатын талап етпейді. Артықшылықты конфигурацияға топтың кең жазу рұқсаты қалыпты өту жөндеуі емес. Рекурсивті 0777 де шешім емес.

Қай құрамдасты және неге өзгерткеніңізді жазып қойыңыз. Себебі жазылмаған рұқсат өзгерісін қарау қиын және ұмыту оңай.

Режимдерден кейін ғана, жүрістен кейін қараңыз

Егер режим биттері жеткілікті көрінсе, қалған тексерулер ACL, қауіпсіздік саясаты және sandbox шектеулері. ACL режим биттері жоқ деп көрсететін қолжетімділікті бере алады немесе олар рұқсат ететіндей көрінетін қолжетімділікті қайтара алады. Бұл параметрлер қолданыстағы конфигурация иесіне тиесілі және оларды өшіруден гөрі тар реттеу керек. Тамыр немесе жұмыс каталогының айырмашылығы бір контексте жұмыс істеп, екіншісінде сәтсіз болатын абсолютті жолды да түсіндіре алады.

Қолжетімділікті түзету кезінде файлдың не екенін ұмытпаңыз. CA сертификаты дизайны бойынша ашық, жеке кілт олай емес. Клиент қайта жазатын файлдарға да тек оқуға арналған сәйкестік кілтінен өзгеше жазу құқықтары қажет. Құпияларды басып шығармай метадеректерді қараңыз, содан кейін өзгерістен кейін қызметтің өзі жұмыс істейтінін растаңыз. Қызмет құжаттамасындағы қысқа жазба келесі адамға сол жүрісті үнемдейді.