키를 공개하지 않고 IPsec 상태를 점검하는 방법

IPsec 상태 덤프는 상태 보고서가 아니며, 그렇게 다루는 것이 바로 키 자료가 공개 이슈 트래커에 남는 경로입니다. 커널 점검 출력 일부에는 커널이 쓰는 트래픽 키가 주소, 선택자, 정말 쓸모 있는 카운터와 함께 들어 있습니다. 안전한 습관은 먼저 요약을 모으고, 요약이 질문에 답하지 못할 때만 원시 상태로 손을 뻗는 것입니다. 원시 상태를 꼭 봐야 한다면 로컬에서 보고 더 좁은 것만 공유하십시오.

점검 1: 이 산출물이 애초에 머신을 떠날 수 있는가

설정 파일, 개인 키, 제한 없는 패킷 캡처, 원시 상태 덤프는 반증이 없는 한 모두 비밀입니다. 키를 인쇄하는 명령은 진단용으로 실행했다는 사실만으로 안전해지지 않습니다.

규칙은 한 문장으로 말할 만큼 간단합니다: 질문에 답하는 관찰을 공유하고, 그것을 만든 머신 상태는 공유하지 마십시오.

점검 2: 상태 덤프가 아니라 요약 명령을 고르십시오

strongSwan에서는 swanctl --list-sas 이 연결 요약을 보여 줍니다: ID, 설치된 자식 SA, 상태, 카운터입니다. 원시 키 덤프가 필요 없고, 티켓에 가장 먼저 붙일 것입니다. 커널 쪽에서는 이 옵션을 문서화한 버전에서 iproute2가 ip xfrm state list nokeys 을 지원하며, 연결 필드를 유지한 채 키 자료를 가립니다.

이 옵션은 모든 릴리스에 있지 않고, 그것이 없는 일반 상태 목록은 출력이 다른 다른 명령이므로, 믿기 전에 로컬 매뉴얼에서 문법을 확인하십시오. 오래된 빌드에서 ip xfrm state 을 실행해 플래그가 있는지 보는 것이 바로 이 점검 목록이 다루는 실수입니다.

점검 3: 조사에 필요한 것만 기록하십시오

연결 상태, 알고리즘, 선택자, 타임스탬프, 방향, 관련 카운터면 보통 충분합니다. 계정 ID, 공개 주소, 내부 토폴로지는 종종 충분하지 않으며, 진단 가치를 잃지 않고 가릴 수 있습니다.

기본적으로 가리고 요청이 있으면 다시 넣으십시오. 티켓을 읽는 사람은 필드를 하나 더 요청할 수 있지만, 이미 붙인 키를 못 본 것으로 만들 수는 없습니다.

알아 둘 만한 중간 지점이 있습니다: 요약도 민감할 수 있습니다. ID, 피어 주소, 자식 SA 이름은 여러분의 토폴로지를 설명하며, 일부 조직에서는 그것 자체가 제한 정보입니다. 붙이기 전에 누가 읽을지 정하고, 공개 이슈보다 적절한 접근 제어가 있는 경로를 택하십시오. 안전한 명령이 안전한 목적지와 같은 것은 아닙니다.

점검 4: 한 번의 시도를 양 끝에서 맞추십시오

같은 연결 시도에 대해 클라이언트와 게이트웨이를 같은 시각에 잡고, 설명하는 연결이 바로 그 시도가 만든 것인지 확인하십시오. 이전 시도의 낡은 자식 SA를 새 경로 스냅숏과 섞으면 내부적으로 일관되지만 완전히 오해를 부르는 보고서가 됩니다.

연결은 터널이 아니라 고유 식별자로 특정하고, 실패 방향을 적으십시오. 증상이 한 방향 트래픽 부재라면 어느 방향인지 말하고, 독자가 추측 대신 경로를 따져 볼 수 있도록 무해한 시험 목적지를 넣으십시오. 한 방향에서는 영이고 다른 방향에서는 늘어나는 카운터 는 어떤 키 덤프보다 문제를 훨씬 잘 국소화합니다. 타임스탬프는 한 시간대로 맞추고 어느 시간대인지 밝히십시오.

점검 5: 자료가 이미 노출되었다면

첨부를 지운다고 아무도 보관하지 않았다는 증명이 되지 않으며, 공개 붙여넣기는 빠르게 복사됩니다.

이를 사고로 다루고, 영향을 받은 키나 자격 증명을 교체하고, 노출이 더 넓은 침해를 뜻하는지 확인하고, 해당되는 통보 경로를 따르는 운영자의 교체 절차를 따르십시오. 기술적 정리는 쉬운 부분이고, 아무도 읽지 않았다는 가정이 어려운 부분입니다.

오래가는 방법은 붙이기 전에 채우는 작은 서식으로, 어느 끝, 어느 연결 식별자, 어느 방향, 어느 카운터, 무엇이 이미 배제되었는지를 적습니다. swanctl list-sas 문서 가 요약 필드를 설명하며, 대부분의 티켓에 실제로 필요한 것이 그것입니다. 나머지는 필요한 사람에게 요청하면 제공됩니다. 진단 보고서에는 증거가 들어가야 하고 접근 권한이 들어가서는 안 됩니다.