Ачкычка чейин ар бир каталогдогу издөө укугу

0600 режими жана туура ээси кызматтын ачкычты ача аларына кепилдик бербейт. Жетишпеген укук адатта анын үстүндөгү каталогдо болот. Linux жолду бир убакта бир компонент боюнча чечет, жана ар бир кадам кийинкисин сынап көрүүдөн мурун издөө укугун талап кылат. Бүт жолду окуңуз, тизменин акыркы сабын эмес.

Окуу укугу — акыркы кадам, бирок жалгыз эмес

Файлды ачуу үчүн өзөк тамырдан же иш каталогунан жолдун ар бир компоненти аркылуу өтүшү керек. Издөө укугу жок каталог бул жүрүштү укук катасы менен токтотот. Файлдын өз режими эч качан каралбайт, ошондуктан толук окула турган ачкыч окулбай тургандай көрүнөт. Ката көбүнчө ачуу учурунда каталогдун атын атабай келет, ошондуктан акыркы файл күнөөлөнөт.

Каталог үчүн аткаруу бити издөөнү билдирет, мазмунду аткарууну эмес. Ачкыч дайын бойдон калат, жана бул оңдоонун эч бир бөлүгү аны аткарылуучу деп белгилөөнү талап кылбайт.

Жолду кызмат эсеби катары басып өтүңүз

Ар бир компонентти ээси жана режими менен тизмелеңиз, андан кийин окууну кызматтын чыныгы инсандыгы катары кайталаңыз. Сиздин кабыгыңыз менен демондун ортосундагы айырма көбүнчө бүт жооп. Символдук шилтемелерди чыныгы максатка чейин ээрчиңиз, анткени чечилген жол текшерилет.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Кызмат файлдарды бир нече фазада да ача алат. Кээ бир материал артыкчылыктуу жөндөө учурунда окулат, ал эми башка файлдар артыкчылыктар түшүрүлгөндөн кийин ачылат. Файлды окуган root кабыгы кийинки жумушчунун жетүүсүн кайталабайт. Туташтыруу аталыш мейкиндиги ошол эле жолдун башка көрүнүшүн көрсөтүшү мүмкүн, өзгөчө контейнердин ичинде, ошондуктан демондун файлдык система көрүнүшүн өзүңүздүкү менен салыштырыңыз.

Туура келген эң тар укукту өзгөртүңүз

Процесске жетүү берген эң кичине тартипти тандаңыз: керектүү каталогдордо издөөсү бар көзөмөлдөнгөн топ, кызмат мурун эле ээлик кылган башкарылуучу жай, же башка документтелген механизм. Файлды окуу анын каталогуна жазуу укугун талап кылбайт. Артыкчылыктуу конфигурацияга топтун кең жазуу укугу кадимки өтүү оңдоосу эмес. Рекурсивдүү 0777 да чечим эмес.

Кайсы компонентти жана эмне үчүн өзгөрткөнүңүздү жазыңыз. Себеби жазылбаган укук өзгөртүүсүн карап чыгуу кыйын жана унутуу оңой.

Режимдерден өткөндөн кийин гана караңыз

Эгер режим биттери жетиштүү көрүнсө, калган текшерүүлөр ACL, коопсуздук саясаты жана sandbox чектөөлөрү. ACL режим биттери жок деп көрсөткөн жетүүнү бериши мүмкүн, же алар уруксат кылгандай көрүнгөн жетүүнү баш тартышы мүмкүн. Бул параметрлер учурдагы конфигурациянын ээсине таандык жана аларды өчүрүүнүн ордуна тар жөндөө керек. Тамыр же иш каталогунун айырмасы бир контекстте иштеп, экинчисинде ишке ашпаган абсолюттук жолду да түшүндүрүшү мүмкүн.

Жетүүнү оңдоп жатканда файлдын эмне экенин унутпаңыз. CA сертификаты долбоор боюнча ачык, жеке ачкыч андай эмес. Кардар кайра жазган файлдар дагы окууга гана арналган инсандык ачкычтан башка жазуу укуктарын талап кылат. Сырларды басып чыгарбай метаберилиштерди текшериңиз, андан кийин өзгөртүүдөн кийин кызматтын өзү иштешин ырастаңыз. Кызмат документтериндеги кыска жазуу кийинки адамга ошол эле жүрүштү үнөмдөйт.