Sichrecht op all Verzeechnes virum Schlëssel

Modus 0600 an de richtege Besëtzer garantéieren net, datt den Déngscht e Schlëssel kann opmaachen. Déi fehlend Erlaabnes ass meeschtens op engem Verzeechnes driwwer. Linux léist e Wee eng Komponent no der anerer op, an all Schrëtt brauch Sichrecht, ier deen Nächsten probéiert gëtt. Liest de ganze Wee, net déi lescht Zeil vun der Lëscht.

Liesrecht ass de leschte Schrëtt, net deen eenzegen

E Fichier opzemaachen erfuerdert, datt de Kernel vun der Wuerzel oder vum Aarbechtsverzeechnes duerch all Komponent vum Wee geet. En Verzeechnes ouni Sichrecht stoppt deem Duerchgang mat engem Erlaabnesfehler. De Modus vum Fichier selwer gëtt ni konsultéiert, dofir gesäit en duerchaus liesbare Schlëssel onliesbar aus. De Fehler kënnt dacks beim Opmaachen ouni d'Verzeechnes ze nennen, dofir gëtt de leschte Fichier beschëllegt.

Fir en Verzeechnes bedeit de Ausféierungsbit Sichen, net d'Inhalt ausféieren. E Schlëssel bleift Daten, an keen Deel vun dëser Reparatur erfuerdert, hien als ausféierbar ze markéieren.

Gitt de Wee als Déngschtkonto duerch

Lëscht all Komponent mat hirem Besëtzer a Modus op, a widderholl duerno d'Liesen als déi tatsächlech Identitéit vum Déngscht. Den Ënnerscheed tëscht Ärer Shell an dem Daemon ass dacks déi ganzen Äntwert. Follegt de symbolesche Linken bis zum richtege Zil, well de opgeléiste Wee ass wat gepréift gëtt.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

En Déngscht kann och Fichieren a méi wéi enger Phas opmaachen. Deel vum Material gëtt wärend der privilegéierter Ariichtung gelies, während aner Fichieren opgemaach ginn, nodeems Privilegien ofgeworf goufen. Eng Root-Shell, déi de Fichier liest, reproduzéiert den Zougang vum spéideren Aarbechter net. En Mount-Nummraum kann eng aner Vue vum selwechte Wee weisen, besonnesch an engem Container, also vergläicht d'Dateisystemvue vum Daemon mat Ärer.

Ännert déi schmuelst Erlaabnes déi passt

Wielt déi klengst Reegelung, déi dem Prozess Zougang gëtt: eng kontrolléiert Grupp mat Sichen op den néidegen Verzeechnesser, eng verwalt Plaz déi den Déngscht schonn huet, oder en aneren dokumentéierte Mechanismus. E Fichier liesen erfuerdert keng Schréifrecht op sengem Verzeechnes. Breet Gruppeschréifrecht op privilegéierter Konfiguratioun ass keng normal Duerchgangsreparatur. Rekursiivt 0777 ass och keng Léisung.

Schreift op, wéi eng Komponent Dir geännert hutt a firwat. Eng Erlaabnesännerung ouni opgeschriwwene Grond ass schwéier z'iwwerpréiwen an einfach ze vergessen.

Kuckt iwwer Modi eréischt no dem Duerchgang

Wann d'Modusbits duergen ausgesinn, sinn déi reschtlech Kontrollen ACLen, Sécherheetspolitik a Sandbox-Agrenzungen. Eng ACL kann Zougang ginn, deen d'Modusbits als fehlend uginn, oder Zougang verweigeren, deen se schéngen z'erlaben. Déi Astellunge gehéieren dem existéierende Konfiguratiounsbesëtzer, a si sollten enk ugepasst ginn anstatt ausgeschalt. En Ënnerscheed an der Wuerzel oder am Aarbechtsverzeechnes kann och en absolute Wee erklären, deen an engem Kontext funktionéiert an an engem aneren net.

Verléiert net aus den Aen, wat de Fichier ass, während Dir den Zougang reparéiert. En CA-Zertifikat ass ëffentlech duerch Design; e private Schlëssel net. Fichieren, déi de Client nei schreift, brauche och aner Schréifrechter wéi en Identitéitsschlëssel deen nëmme liesbar ass. Iwwerpréift Metadaten ouni Geheimnisser ze drécken, a bestätegt duerno, datt den Déngscht selwer no der Ännerung funktionéiert. Eng kuerz Notiz an der Déngschtdokumentatioun spuert déi nächst Persoun deeselwechte Wee.