Сиздин VPN ачкычыңыз баарына окулат: эмнени оңдоо керек

Биринчи белги адатта бузулуу эмес, эскертүү. Кардар ачкычты жүктөөдөн баш тартат, анткени файл топко же баарына окулат, же коопсуздук текшерүүсү client.key файлын экспорттолгон топтомдор да бар профиль папкасында 644 режиминде табат. Азырынча эч нерсе бузулган жок, жана дал ошондуктан эскертүү этибарга алынбайт. Ачкыч иштейт, туннель көтөрүлөт, ал эми файл машинадагы ар бир эсепке окулат.

Симптом — укук тууралуу эскертүү, үзгүлтүк эмес

Unix сыяктуу системада жеке ачкыч кызматты иштеткен эсеп үчүн гана окулушу керек. Туура ээси менен 600 режими адаттагы тартип. 644 режими ар бир жергиликтүү колдонуучу ачкычты көчүрө аларын билдирет, ал эми жалпы build хостунда бул чыныгы аудитория.

Муну текшерген кардарлар сизге жакшылык кылат. Текшербегендер файлдын коопсуздугуна далил эмес, ал эми ийгиликтүү байланыш аны мүмкүн кылган материалды дагы ким окуй алары тууралуу эч нерсе айтпайды. Эскертүүнү толук тыянак катары кабыл алыңыз. Ал так жана бирөө файлды көчүрө электе келди.

Режимди кызматтын инсандыгына шайкеш келтириңиз

Ээсине гана кирүү ошол ээ колдонгон ачкычка ылайыктуу. Атайын жалпы тобу бар кызматка башка көзөмөлдөнгөн тартип керек болушу мүмкүн, мисалы кызмат эсебине таандык ачкычта топтук окуу. Бардык файлдарды сокур түрдө бир сандык режимге коюу колдоого алынган кардарларды бузат, ал эми chmod -R 777 эч нерсенин чечилиши эмес.

Бир нерсени өзгөртүүдөн мурун ээсин жана кызмат эсебин текшериңиз. Ачык CA сертификаттары менен жеке инсандык ачкычтардын жашыруундук талаптары ар башка, алар бир папкада болсо да, ошондуктан бүт папкага колдонулган рекурсивдик режим экөөнү бир объект катары карайт.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Башка платформаларда Unix режимдерин божомолго которуунун ордуна документтелген ачкыч кампасын же кирүүнү көзөмөлдөө моделинин колдонуңуз. private менен бүткөн файл аты — белги, аткаруу механизми эмес.

Режим камтыбаган көчүрмөлөрдү табыңыз

Редакторлор, камдык көчүрмө архивдери, экспорттолгон профилдер жана убактылуу топтомдор ар бири бирдей инсандыкты сактай алат. Ошол көчүрмөлөрдү мазмунуна жараша коргоңуз, анткени баштапкы файлды бекемдөө өткөн айдын tar архивиндеги көчүрмөгө эч нерсе кылбайт.

Ачкыч файлындагы сырсөз сакталган материал үчүн пайдалуу жана шифрленген файлды анын сырсөзүнүн жанында жарыялоону актабайт. Укуктар учурдагы файлдык система объектисин коргойт; алар башка жакка мурун эле көчүрүлгөн эсептик маалымат тууралуу эч нерсе айтпайт.

Ишти бүттү деп жарыялоодон мурун көчүрмөлөрдү издеңиз: grep -rl ыктымал папкаларда ачкычтын аталыш сабы, жана камдык көчүрмөнүн четтетүүлөрүнө көз чаптырыңыз. Натыйжа адатта баштаган файлыңыздан кызыктуураак болот.

Оңдогондон кийин текшериңиз жана алмаштырыңыз

Көздөлгөн кызмат дагы эле аутентификациялаарын текшериңиз, андан кийин ашыкча эч бир эсеп кирүү албаганын ырастаңыз. Диагностикалык чыгууну метамаалыматтар менен чектеңиз, анткени файлдын окулаарын далилдөө үчүн ачкычты басуу талап кылынбайт жана ал материалды журналга салат.

Эгер ачкыч ачылган болсо, режимди бекемдеп, андан кийин эсептик маалыматты алмаштырыңыз жана эскисин жокко чыгарыңыз. POSIX chmod спецификациясы ар бир режим битинин маанисин түшүндүрөт, муну кийинки текшерүү тандалган санды негиздөөнү талап кылганга чейин билген жөн.