Сіздің VPN кілтіңіз бәріне оқылады: нені түзету керек

Бірінші белгі әдетте ақау емес, ескерту. Клиент кілтті жүктеуден бас тартады, өйткені файл топқа немесе барлығына оқылады, немесе қауіпсіздік тексеруі client.key файлын экспортталған бумалар да бар профиль қалтасында 644 режимінде табады. Әзірге ештеңе бұзылмаған, және дәл сондықтан ескерту еленбейді. Кілт жұмыс істейді, туннель көтеріледі, ал файл машинадағы әрбір тіркелгіге оқылады.

Симптом — рұқсат туралы ескерту, үзіліс емес

Unix тәрізді жүйеде жеке кілт қызметті іске қосатын тіркелгі үшін ғана оқылуы керек. Дұрыс иесімен 600 режимі әдеттегі рет. 644 режимі кез келген жергілікті пайдаланушы кілтті көшіре алатынын білдіреді, ал ортақ build хостта бұл нақты аудитория.

Мұны тексеретін клиенттер сізге жақсылық жасайды. Тексермейтіндер файлдың қауіпсіздігіне дәлел емес, ал сәтті қосылым оны мүмкін еткен материалды тағы кімнің оқи алатыны туралы ештеңе айтпайды. Ескертуді толық тұжырым ретінде қабылдаңыз. Ол дәл және біреу файлды көшірмес бұрын келді.

Режимді қызметтің сәйкестігіне сай етіңіз

Тек иесінің қатынауы сол ие пайдаланатын кілтке сай. Әдейі ортақ тобы бар қызметке басқа бақыланатын рет қажет болуы мүмкін, мысалы қызмет тіркелгісіне тиесілі кілтте топтық оқу. Барлық файлға соқыр түрде бір сандық режим қою қолдау көрсетілетін клиенттерді бұзады, ал chmod -R 777 ешнәрсенің шешімі емес.

Бірдеңені өзгертуден бұрын иесін және қызмет тіркелгісін тексеріңіз. Ашық CA сертификаттары мен жеке сәйкестік кілттерінің құпиялылық талаптары әртүрлі, тіпті олар бір қалтада болса да, сондықтан бүкіл қалтаға қолданылатын рекурсивті режим екеуін бір нысан ретінде қарастырады.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Басқа платформаларда Unix режимдерін болжамға аударудың орнына құжатталған кілт қоймасын немесе қатынауды бақылау моделін пайдаланыңыз. private-пен аяқталатын файл атауы — белгі, орындау механизмі емес.

Режим қамтымайтын көшірмелерді табыңыз

Редакторлар, сақтық көшірме мұрағаттары, экспортталған профильдер және уақытша бумалар әрқайсысы бірдей сәйкестікті сақтай алады. Сол көшірмелерді мазмұнына қарай қорғаңыз, өйткені түпнұсқа файлды қатайту өткен айдың tar мұрағатындағы көшірмеге ештеңе жасамайды.

Кілт файлындағы құпиясөз сақталған материал үшін пайдалы және шифрланған файлды оның құпиясөзінің қасында жариялауды ақтамайды. Рұқсаттар ағымдағы файлдық жүйе нысанын қорғайды; олар басқа жерге көшірілген тіркелгі деректері туралы ештеңе айтпайды.

Жұмысты аяқталды деп жарияламас бұрын көшірмелерді іздеңіз: grep -rl ықтимал қалталарда кілттің тақырып жолы, және сақтық көшірме ерекшеліктеріне көз жүгіртіңіз. Нәтиже әдетте бастаған файлыңыздан қызықтырақ болады.

Түзетуден кейін тексеріңіз және ауыстырыңыз

Көзделген қызметтің әлі де аутентификациялайтынын тексеріңіз, содан кейін қажетсіз ешбір тіркелгі қатынау алмағанын растаңыз. Диагностикалық шығысты метадеректермен шектеңіз, өйткені файлдың оқылатынын дәлелдеу үшін кілтті басу қажет емес және ол материалды журналға салады.

Егер кілт ашылған болса, режимді қатайтыңыз, содан кейін тіркелгі деректерін ауыстырыңыз және ескісін кері қайтарыңыз. POSIX chmod сипаттамасы әрбір режим битінің мағынасын түсіндіреді, мұны келесі тексеру таңдаған санды негіздеуді талап етпес бұрын білген жөн.