Jūsu VPN atslēga ir lasāma ikvienam: ko labot

Pirmā pazīme parasti ir brīdinājums, nevis kļūme. Klients atsakās ielādēt atslēgu, jo fails ir lasāms grupai vai visiem, vai drošības pārbaude atrod client.key 644 režīmā profila mapē, kurā ir arī eksportētas pakotnes. Nekas vēl nav salūzis, un tieši tāpēc brīdinājums tiek ignorēts. Atslēga darbojas, tunelis ceļas, un fails ir lasāms katram mašīnas kontam.

Simptoms ir atļauju brīdinājums, nevis pārtraukums

Unix līdzīgā sistēmā privātai atslēgai jābūt lasāmai tikai tam kontam, kas palaiž servisu. 600 režīms ar pareizo īpašnieku ir ierastā kārtība. 644 režīms nozīmē, ka jebkurš vietējais lietotājs var nokopēt atslēgu, un koplietotā build hostā tas ir reāla auditorija.

Klienti, kas to pārbauda, dara jums pakalpojumu. Tie, kas nepārbauda, nav pierādījums, ka fails ir drošs, un veiksmīgs savienojums neko nepasaka par to, kas vēl var lasīt materiālu, kas to padarīja iespējamu. Uztveriet brīdinājumu kā visu atradumu. Tas ir precīzs, un tas pienāca pirms kāds nokopēja failu.

Saskaņojiet režīmu ar servisa identitāti

Piekļuve tikai īpašniekam piestāv atslēgai, ko lieto šis īpašnieks. Servisam ar apzināti koplietotu grupu var būt vajadzīga cita kontrolēta kārtība, piemēram, grupas lasīšana atslēgai, kas pieder servisa kontam. Visu failu akla iestatīšana vienā ciparu režīmā salauž atbalstītos klientus, un chmod -R 777 nav nekam risinājums.

Pirms kaut ko mainīt, pārbaudiet īpašnieku un servisa kontu. Publiskajiem CA sertifikātiem un privātajām identitātes atslēgām ir atšķirīgas slepenības prasības, pat ja tās atrodas vienā mapē, tāpēc rekursīvs režīms visai mapei pret abiem izturas kā pret vienu objektu.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Citās platformās izmantojiet dokumentēto atslēgu krātuvi vai piekļuves kontroles modeli, nevis tulkojiet Unix režīmus minējumā. Faila nosaukums, kas beidzas ar private, ir etiķete, nevis izpildes mehānisms.

Atrodiet kopijas, ko režīms neaptver

Redaktori, dublējumu arhīvi, eksportēti profili un pagaidu pakotnes katra var saglabāt vienu un to pašu identitāti. Aizsargājiet šīs kopijas atbilstoši to saturam, jo oriģinālā faila savilkšana neko nedara kopijai pagājušā mēneša tar arhīvā.

Paroles frāze atslēgas failā ir noderīga uzglabātam materiālam un neattaisno šifrētā faila publicēšanu blakus tā parolei. Atļaujas aizsargā pašreizējo failu sistēmas objektu; tās neko nepasaka par jau citur nokopētu akreditācijas datu.

Meklējiet kopijas pirms darba pabeigšanas pasludināšanas: grep -rl atslēgas galvenes rindu iespējamās mapēs un apskatiet dublējumu izņēmumus. Rezultāts parasti ir interesantāks par failu, ar ko sākāt.

Pēc labojuma pārbaudiet un nomainiet

Pārbaudiet, vai paredzētais serviss joprojām autentificē, tad apstipriniet, ka neviens nevajadzīgs konts nav ieguvis piekļuvi. Ierobežojiet diagnostikas izvadi ar metadatiem, jo atslēgas drukāšana nav nepieciešama, lai pierādītu faila lasāmību un tā ievieto materiālu žurnālā.

Ja atslēga tika atklāta, savelciet režīmu, pēc tam nomainiet akreditācijas datus un atsauciet vecos. POSIX chmod specifikācija izskaidro, ko nozīmē katrs režīma bits, ko ir vērts zināt pirms nākamās pārbaudes, kas prasīs pamatot izvēlēto skaitli.