Како да ја проверите состојбата на IPsec без да ги објавите неговите клучеви

Исписот на состојбата на IPsec не е извештај за состојба, и токму таквиот однос е патот по кој клучниот материјал завршува во јавен следач на проблеми. Некои излези од проверката на јадрото ги содржат сообраќајните клучеви што ги користи јадрото, заедно со адреси, селектори и бројачи што се навистина корисни. Безбедната навика е прво да се собере резимето и да се посегне по суровата состојба само кога резимето не може да одговори на прашањето. Ако сѐ уште мора да ја погледнете суровата состојба, погледнете ја локално и споделете нешто потесно.

Проверка 1: може ли овој артефакт воопшто да ја напушти машината

Конфигурациската датотека, приватниот клуч, неограниченото фаќање пакети и суровиот испис на состојба се сите тајни додека не се докаже спротивното. Наредбата што печати клучеви не станува безбедна од тоа што сте ја извршиле за дијагностика.

Правилото е доволно едноставно за да се каже во една реченица: споделете го набљудувањето што одговара на прашањето, а не состојбата на машината што го создала.

Проверка 2: изберете ја наредбата за резиме, а не исписот на состојба

За strongSwan swanctl --list-sas го прикажува резимето на асоцијацијата: идентитети, инсталирани child SA, состојби и бројачи. Не бара суров испис на клучеви и е првото нешто што треба да се залепи во тикет. Од страната на јадрото, iproute2 поддржува ip xfrm state list nokeys во верзии што ја документираат опцијата, што го потиснува клучниот материјал додека ги задржува полињата на асоцијацијата.

Потврдете ја синтаксата во локалниот прирачник пред да се потпрете на неа, бидејќи опцијата не е присутна во секое издание, а општиот список на состојба без неа е друга наредба со различен излез. Извршувањето на ip xfrm state на старо издание за да се види дали знамето постои е токму грешката со која се занимава овој список.

Проверка 3: запишете само она што му е потребно на истрагата

Состојбата на асоцијацијата, алгоритмите, селекторите, временските ознаки, насоката и релевантните бројачи обично се доволни. Идентитетите на сметките, јавните адреси и внатрешната топологија честопати не се, и можат да се редактираат без губење на дијагностичката вредност.

Редактирајте по стандард и додајте назад на барање. Оној што го чита вашиот тикет може да побара уште едно поле; но не може да направи залепен клуч да не биде виден.

Има среден пат што вреди да се знае: и резимето може да биде чувствително. Идентитетите, адресите на партнерот и имињата на child SA ја опишуваат вашата топологија, и во некои организации тоа само по себе е ограничена информација. Одлучете кој е публиката пред да залепите, и претпочитајте канал со правилна контрола на пристап наместо јавен проблем. Безбедната наредба не е исто што и безбедната дестинација.

Проверка 4: поврзете еден обид на двата краја

Снимете го клиентот и портата за истиот обид за поврзување, во исто време, и осигурајте се дека асоцијацијата што ја опишувате е онаа што ја создал тој обид. Мешањето на застарена child SA од претходен обид со свежа слика од рутите дава извештај што е внатрешно доследен и целосно заведувачки.

Идентификувајте ја асоцијацијата по нејзините единствени идентификатори, а не по тунелот, и забележете ја насоката на дефектот. Ако симптомот е никаков сообраќај во една насока, кажете која насока и вклучете безопасна тест дестинација, за читателот да може да размислува за патеката наместо да гаѓа. Бројач што е нула во една насока и расте во другата ја лоцира проблема многу подобро од кој било испис на клучеви. Држете ги временските ознаки во една временска зона и кажете која.

Проверка 5: што да се прави ако материјалот веќе бил изложен

Бришењето на прилогот не докажува дека никој не го задржал, а јавното лепење се копира брзо.

Третирајте го тоа како инцидент и користете го процесот на замена на операторот: ротирајте ги погодените клучеви или акредитиви, проверете дали изложеноста значи поширок компромис, и следете ја применливата патека за известување. Техничкото чистење е лесниот дел; претпоставката дека никој не го прочитал е тешкиот.

Трајната практика е мал шаблон што го пополнувате пред лепење: кој крај, кој идентификатор на асоцијација, која насока, кој бројач и што веќе е исклучено. документацијата на swanctl list-sas ги опишува полињата на резимето, и тоа е она што на повеќето тикети навистина им треба. Сето друго е достапно на барање за оној на кого му треба. Дијагностичкиот извештај треба да содржи докази, а не пристап.