Jūsų VPN raktas skaitomas visiems: ką pataisyti

Pirmasis ženklas paprastai yra įspėjimas, o ne gedimas. Klientas atsisako įkelti raktą, nes failas skaitomas grupės arba visų, arba saugumo patikra randa client.key su 644 režimu profilio kataloge, kuriame taip pat yra eksportuotų paketų. Kol kas niekas nesugedo, ir būtent todėl įspėjimas ignoruojamas. Raktas veikia, tunelis pakyla, o failas skaitomas kiekvienos mašinos paskyros.

Simptomas yra teisių įspėjimas, o ne sutrikimas

Unix tipo sistemoje privatus raktas turėtų būti skaitomas tik tos paskyros, kuri vykdo paslaugą. 600 režimas su teisingu savininku yra įprasta tvarka. 644 režimas reiškia, kad bet kuris vietinis naudotojas gali nukopijuoti raktą, o bendrame build hoste tai tikra auditorija.

Klientai, kurie tai tikrina, daro jums paslaugą. Tie, kurie netikrina, nėra įrodymas, kad failas saugus, o sėkmingas ryšys nieko nesako apie tai, kas dar gali skaityti medžiagą, kuri tai padėjo įmanoma. Traktuokite įspėjimą kaip visą radinį. Jis tikslus ir atėjo prieš tai, kai kas nors nukopijavo failą.

Suderinkite režimą su paslaugos tapatybe

Prieiga tik savininkui tinka raktui, kurį naudoja tas savininkas. Paslaugai su sąmoningai bendra grupe gali prireikti kitos kontroliuojamos tvarkos, pavyzdžiui, grupinio skaitymo rakte, kuris priklauso paslaugos paskyrai. Aklai nustačius vieną skaitmeninį režimą visiems failams, palaikomi klientai sugenda, o chmod -R 777 nėra jokio dalyko sprendimas.

Prieš ką nors keisdami patikrinkite savininką ir paslaugos paskyrą. Viešieji CA sertifikatai ir privatūs tapatybės raktai turi skirtingus slaptumo reikalavimus, net jei yra tame pačiame kataloge, todėl rekursyvus režimas visam aplankui juos traktuoja kaip tą patį objektą.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Kitose platformose naudokite dokumentuotą raktų saugyklą arba prieigos kontrolės modelį, o ne verskite Unix režimus į spėjimą. Failo vardas, besibaigiantis private, yra žymė, o ne vykdymo mechanizmas.

Raskite kopijas, kurių režimas neapima

Redaktoriai, atsarginių kopijų archyvai, eksportuoti profiliai ir laikini paketai gali kiekvienas išsaugoti tą pačią tapatybę. Saugokite tas kopijas pagal jų turinį, nes pradinio failo sugriežtinimas nieko nedaro praėjusio mėnesio tar archyve esančiai.

Slaptafrazė raktų faile naudinga saugomai medžiagai ir nepateisina užšifruoto failo publikavimo šalia jo slaptažodžio. Teisės saugo dabartinį failų sistemos objektą; jos nieko nesako apie jau kitur nukopijuotą prisijungimo duomenį.

Ieškokite kopijų prieš paskelbdami darbą baigtu: grep -rl rakto antraštės eilutė tikėtinuose kataloguose ir žvilgsnis į atsarginių kopijų išimtis. Rezultatas paprastai įdomesnis už failą, su kuriuo pradėjote.

Po pataisymo patikrinkite ir pakeiskite

Patikrinkite, ar numatyta paslauga vis dar autentifikuoja, tada patvirtinkite, kad jokia nereikalinga paskyra negavo prieigos. Apribokite diagnostikos išvestį metaduomenimis, nes rakto spausdinti nereikia norint įrodyti, kad failas skaitomas ir tai patenka į žurnalą.

Jei raktas buvo atskleistas, sugriežtinkite režimą, tada pakeiskite prisijungimo duomenis ir panaikinkite seną. POSIX chmod specifikacija paaiškina, ką reiškia kiekvienas režimo bitas, ką verta žinoti prieš kitai peržiūrai prašant pagrįsti pasirinktą skaičių.