Kaip patikrinti IPsec būseną nepaskelbiant jo raktų

IPsec būsenos išmetimas nėra būsenos ataskaita, ir būtent toks traktavimas leidžia raktų medžiagai atsidurti viešame problemų sekiklyje. Kai kurie branduolio patikros išvedimai apima srauto raktus, kuriuos naudoja branduolys, kartu su adresais, selektoriais ir skaitikliais, kurie tikrai naudingi. Saugus įprotis yra pirmiausia surinkti suvestinę ir neapdorotos būsenos siekti tik tada, kai suvestinė negali atsakyti į klausimą. Jei vis dėlto turite pažiūrėti neapdorotą būseną, žiūrėkite vietoje ir bendrinkitės kažkuo siauresniu.

Patikra 1: ar šis artefaktas apskritai gali palikti mašiną

Konfigūracijos failas, privatus raktas, neribotas paketų fiksavimas ir neapdorotos būsenos išmetimas yra paslaptys, kol neįrodyta priešingai. Komanda, kuri spausdina raktus, netampa saugi dėl to, kad ją paleidote diagnostikai.

Taisyklė pakankamai paprasta, kad ją būtų galima pasakyti vienu sakiniu: bendrinkitės stebėjimu, kuris atsako į klausimą, o ne mašinos būsena, kuri jį sukūrė.

Patikra 2: rinkitės suvestinės komandą, o ne būsenos išmetimą

strongSwan atveju swanctl --list-sas rodo asociacijos suvestinę: tapatybes, įdiegtus podukros SA, būsenas ir skaitiklius. Jai nereikia neapdoroto raktų išmetimo, ir tai yra pirmas dalykas, kurį reikia įklijuoti į bilietą. Branduolio pusėje iproute2 palaiko ip xfrm state list nokeys versijose, kuriose dokumentuojama ši parinktis, todėl raktų medžiaga nuslopinama, o asociacijos laukai išsaugomi.

Prieš pasikliaudami patvirtinkite sintaksę vietiniame vadove, nes parinktis yra ne kiekviename leidime, o bendras būsenos sąrašas be jos yra kita komanda su kitu išvedimu. ip xfrm state paleidimas sename rinkinyje norint pamatyti, ar vėliavėlė egzistuoja, yra būtent ta klaida, apie kurią šis kontrolinis sąrašas.

Patikra 3: užrašykite tik tai, ko reikia tyrimui

Asociacijos būsena, algoritmai, selektoriai, laiko žymos, kryptis ir atitinkami skaitikliai paprastai yra pakankami. Paskyrų tapatybės, vieši adresai ir vidinė topologija dažnai ne, ir juos galima redaguoti neprarandant diagnostinės vertės.

Redaguokite pagal nutylėjimą ir pridėkite atgal pagal prašymą. Jūsų bilietą skaitantis asmuo gali paprašyti dar vieno lauko; tačiau jis negali padaryti, kad įklijuotas raktas būtų nematytas.

Yra vidurio kelias, kurį verta žinoti: suvestinė taip pat gali būti jautri. Tapatybės, partnerio adresai ir podukros SA pavadinimai aprašo jūsų topologiją, o kai kuriose organizacijose tai savaime yra ribota informacija. Nuspręskite, kas yra auditorija, prieš klijuodami, ir pirmenybę teikite kanalui su tinkama prieigos kontrole, o ne viešai problemai. Saugi komanda nėra tas pats, kas saugi paskirties vieta.

Patikra 4: susiekite vieną bandymą abiejuose galuose

Užfiksuokite klientą ir šliuzą tam pačiam prisijungimo bandymui tuo pačiu metu ir įsitikinkite, kad asociacija, kurią aprašote, yra ta, kurią sukūrė tas bandymas. Pasenusios podukros SA iš ankstesnio bandymo sumaišymas su nauja maršrutų nuotrauka duoda ataskaitą, kuri yra viduje nuosekli ir visiškai klaidinanti.

Identifikuokite asociaciją pagal jos unikalius identifikatorius, o ne pagal tunelį, ir pažymėkite gedimo kryptį. Jei simptomas yra jokio srauto viena kryptimi, pasakykite, kuri kryptis, ir įtraukite nekenksmingą bandymo paskirties vietą, kad skaitytojas galėtų svarstyti apie kelią, o ne spėlioti. Skaitiklis, kuris viena kryptimi yra nulis, o kita kryptimi auga lokalizuoja problemą daug geriau nei bet koks raktų išmetimas. Laikykite laiko žymas vienoje laiko juostoje ir pasakykite, kurioje.

Patikra 5: ką daryti, jei medžiaga jau buvo atskleista

Priedo ištrynimas neįrodo, kad niekas jo neišsaugojo, o viešas įklijavimas greitai nukopijuojamas.

Traktuokite tai kaip incidentą ir naudokitės operatoriaus pakeitimo procesu: pasukite paveiktus raktus ar prisijungimo duomenis, patikrinkite, ar atskleidimas nereiškia platesnio kompromiso, ir laikykitės taikomos pranešimo tvarkos. Techninis sutvarkymas yra lengvoji dalis; prielaida, kad niekas to neskaitė, yra sunki.

Ilgalaikė praktika yra mažas šablonas, kurį užpildote prieš klijuodami: kuris galas, kuris asociacijos identifikatorius, kuri kryptis, kuris skaitiklis ir kas jau atmesta. swanctl list-sas dokumentacija aprašo suvestinės laukus, ir būtent to daugumai bilietų iš tikrųjų reikia. Visa kita prieinama paprašius tam, kam reikia. Diagnostinėje ataskaitoje turėtų būti įrodymai, o ne prieiga.