Äre VPN-Schlëssel ka jiddereen liesen: wat ze fixéieren

Den éischten Zeechen ass meeschtens eng Warnung, keen Ausfall. E Client refuséiert e Schlëssel ze lueden, well d'Datei fir d'Grupp oder fir jiddereen liesbar ass, oder eng Sécherheetspréifung fënnt client.key am Modus 644 an engem Profil-Dossier, an deem och exportéiert Bündel leien. Nach ass näischt futt gaangen, an dat ass genee de Grond, firwat d'Warnung ignoréiert gëtt. De Schlëssel funktionéiert, den Tunnel kënnt erop, an d'Datei ass fir all Kont um Apparat liesbar.

D'Symptom ass eng Berechtegungs-Warnung, keen Ausfall

Op engem Unix-änleche System soll e private Schlëssel nëmme vum Kont liesbar sinn, deen de Service bedreift. Modus 600 mam richtege Besëtzer ass déi gewéinlech Reegel. Modus 644 heescht, datt all lokale Benotzer de Schlëssel kopéiere kann, an op engem gedeelten Build-Host ass dat e richtegen Publikum.

Clients, déi dat préiwen, maachen Iech eng Gonscht. Déi, déi et net préiwen, sinn kee Beweis, datt d'Datei sécher ass, an eng erfollegräich Verbindung seet näischt doriwwer, wien soss de Material liese kann, deen et méiglech gemaach huet. Behandelt d'Warnung als de ganze Befund. Si ass korrekt, an si koum, ier iergendeen d'Datei kopéiert huet.

Passt de Modus un d'Identitéit vum Service un

Zougang nëmme fir de Besëtzer passt zu engem Schlëssel, deen dee Besëtzer benotzt. E Service mat enger bewosst gedeelter Grupp ka méi eng aner kontrolléiert Reegel brauchen, wéi Grupp-Liesen op engem Schlëssel vun engem Servicekont. All Dateie blann op ee numeresche Modus ze setzen, brécht ënnerstëtzte Clients, an chmod -R 777 ass keng Léisung fir näischt.

Préift de Besëtzer an de Servicekont, ier Dir eppes ännert. Ëffentlech CA-Zertifikater a privat Identitéitsschlëssel hu verschidde Geheimhaltungsufuerderungen, och wann se am selweschten Dossier leien, dofir behandelt e rekursive Modus op de ganzen Dossier déi zwee wéi dat selwecht Objet.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Op anere Plattformen benotzt de dokumentéierten Schlësselspäicher oder d'Zougangskontrollmodell, amplaz Unix-Modi an eng Schätzung z' iwwersetzen. En Dateinumm, deen op private endegt, ass eng Etikett, keen Duerchsetzungsmechanismus.

Fannt d'Kopien, déi de Modus net deckt

Editeuren, Backupsarchiven, exportéiert Profiler a temporär Bündel kënnen all déi selwecht Identitéit behalen. Schützt dës Kopien no hirem Inhalt, well d'Originaldatei ze verschäerfen näischt fir déi am leschte Mount sengem Tar mécht.

Eng Passphrase op enger Schlësseldatei ass nëtzlech fir gespäicherte Material a rechtfäerdeg net, d'verschlësselt Datei nieft hirem Passwuert ze publizéieren. Berechtegungen schützen den aktuellen Dateisystemobjet; si soen näischt iwwer eng Umeldung, déi schonn soss anzwousch kopéiert gouf.

Sicht d'Kopien, ier Dir d'Aarbecht fäerdeg erklärt: grep -rl d'Kappzeil vum Schlëssel an den typeschen Dossieren, an e Bléck op Backup-Ausnamen. D'Resultat ass meeschtens méi interessant wéi d'Datei, mat där Dir ugefaang hutt.

No der Korrektur: préift a rotéiert

Testt, datt de geplangte Service nach ëmmer authentifizéiert, a bestätegt dann, datt keen onnéidegen Kont Zougang kritt huet. Limitéiert diagnostesch Ausgab op Metadaten, well de Schlëssel drécken ass net néideg fir ze beweisen, datt d'Datei liesbar ass an et setzt de Material an e Log.

Wann de Schlëssel exponéiert gouf, verschäerft de Modus, ersetzt dann d'Umeldung a widerrufft déi al. D'POSIX-chmod-Spezifikatioun erkläert, wat all Modusbit bedeit, wat ee wëssen sollte, ier déi nächst Iwwerpréiwung Iech freet, déi gewielten Zuel ze begrënnen.