Meklēšanas atļauja katrā direktorijā pirms atslēgas

Režīms 0600 un pareizais īpašnieks negarantē, ka pakalpojums var atvērt atslēgu. Trūkstošā atļauja parasti ir direktorijā virs tās. Linux atrisina ceļu pa vienam komponentam, un katram solim pirms nākamā mēģinājuma vajadzīga meklēšanas atļauja. Lasiet visu ceļu, nevis saraksta pēdējo rindu.

Lasīšanas atļauja ir pēdējais solis, nevis vienīgais

Faila atvēršana prasa, lai kodols ietu no saknes vai darba direktorijas cauri katram ceļa komponentam. Direktorijs bez meklēšanas atļaujas pārtrauc šo gājienu ar atļaujas kļūdu. Paša faila režīms netiek nekad apskatīts, tāpēc pilnīgi lasāma atslēga izskatās nelasāma. Kļūda bieži nāk atvēršanas brīdī, nenosaucot direktoriju, tāpēc vaino pēdējo failu.

Direktorijam izpildes bits nozīmē meklēšanu, nevis satura izpildi. Atslēga paliek dati, un neviena šī labojuma daļa neprasa atzīmēt to kā izpildāmu.

Izejiet ceļu kā pakalpojuma konts

Uzskaitiet katru komponentu ar tā īpašnieku un režīmu, pēc tam atkārtojiet lasīšanu kā pakalpojuma faktisko identitāti. Atšķirība starp jūsu čaulu un dēmonu bieži ir visa atbilde. Sekojiet simboliskajām saitēm līdz īstajam mērķim, jo tiek pārbaudīts atrisinātais ceļš.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Pakalpojums var atvērt failus arī vairāk nekā vienā fāzē. Daļa materiāla tiek lasīta priviliģētās iestatīšanas laikā, bet citi faili tiek atvērti pēc priviliģēto tiesību atmešanas. Root čaula, kas lasa failu, neatkārto vēlākā darbinieka piekļuvi. Montēšanas nosaukumtelpa var parādīt citu skatu uz to pašu ceļu, īpaši konteinerī, tāpēc salīdziniet dēmona failu sistēmas skatu ar savējo.

Mainiet šaurāko atļauju, kas der

Izvēlieties mazāko kārtību, kas procesam dod piekļuvi: kontrolētu grupu ar meklēšanu vajadzīgajās direktorijās, pārvaldītu vietu, kas pakalpojumam jau pieder, vai citu dokumentētu mehānismu. Faila lasīšana neprasa rakstīšanas atļauju tā direktorijā. Plaša grupas rakstīšanas atļauja priviliģētai konfigurācijai nav parasts šķērsošanas labojums. Rekursīvs 0777 arī nav risinājums.

Pierakstiet, kuru komponentu mainījāt un kāpēc. Atļaujas maiņu bez pierakstīta iemesla ir grūti pārskatīt un viegli aizmirst.

Aiz režīmiem skatieties tikai pēc gājiena

Ja režīma biti šķiet pietiekami, atlikušās pārbaudes ir ACL, drošības politika un sandbox ierobežojumi. ACL var piešķirt piekļuvi, ko režīma biti it kā noliedz, vai liegt piekļuvi, ko tie it kā atļauj. Šie iestatījumi pieder esošajam konfigurācijas īpašniekam, un tie jāpielāgo šauri, nevis jāizslēdz. Saknes vai darba direktorijas atšķirība arī var izskaidrot absolūtu ceļu, kas darbojas vienā kontekstā un neizdodas citā.

Nezaudējiet priekšstatu par to, kas ir fails, kamēr labojat piekļuvi. CA sertifikāts ir publisks pēc dizaina; privātā atslēga nav. Failiem, ko klients pārraksta, vajadzīgas arī citādas rakstīšanas tiesības nekā tikai lasāmai identitātes atslēgai. Pārbaudiet metadatus, neizdrukājot noslēpumus, pēc tam apstipriniet, ka pats pakalpojums darbojas pēc izmaiņām. Īsa piezīme pakalpojuma dokumentācijā ietaupa nākamajam cilvēkam to pašu gājienu.