കീയ്ക്ക് മുമ്പ് ഓരോ ഡയറക്ടറിയിലും തിരയൽ അനുമതി

0600 മോഡും ശരിയായ ഉടമയും സേവനത്തിന് ഒരു കീ തുറക്കാമെന്ന് ഉറപ്പ് നൽകുന്നില്ല. കാണാത്ത അനുമതി സാധാരണയായി അതിന് മുകളിലുള്ള ഒരു ഡയറക്ടറിയിലാണ്. ലിനക്സ് പാത ഒരു സമയം ഒരു ഘടകമായി പരിഹരിക്കുന്നു, ഓരോ ഘട്ടത്തിനും അടുത്തത് ശ്രമിക്കുന്നതിന് മുമ്പ് തിരയൽ അനുമതി ആവശ്യമാണ്. മുഴുവൻ പാതയും വായിക്കുക, പട്ടികയുടെ അവസാന വരി അല്ല.

വായനാ അനുമതി അവസാന ഘട്ടമാണ്, ഏക ഘട്ടമല്ല

ഒരു ഫയൽ തുറക്കാൻ കർണലിന് റൂട്ടിൽ നിന്നോ പ്രവർത്തന ഡയറക്ടറിയിൽ നിന്നോ പാതയുടെ ഓരോ ഘടകത്തിലൂടെയും പോകണം. തിരയൽ അനുമതിയില്ലാത്ത ഡയറക്ടറി ആ യാത്ര അനുമതി പിശകോടെ നിർത്തുന്നു. ഫയലിന്റെ സ്വന്തം മോഡ് ഒരിക്കലും പരിശോധിക്കപ്പെടുന്നില്ല, അതിനാൽ പൂർണ്ണമായി വായിക്കാവുന്ന ഒരു കീ വായിക്കാനാകാത്തതുപോലെ തോന്നുന്നു. പിശക് പലപ്പോഴും തുറക്കുമ്പോൾ ഡയറക്ടറിയുടെ പേര് പറയാതെ വരുന്നു, അതിനാൽ അവസാന ഫയലിനെ കുറ്റപ്പെടുത്തുന്നു.

ഒരു ഡയറക്ടറിക്ക്, എക്സിക്യൂട്ട് ബിറ്റ് അർത്ഥമാക്കുന്നത് തിരയലാണ്, ഉള്ളടക്കം പ്രവർത്തിപ്പിക്കലല്ല. ഒരു കീ ഡാറ്റയായി തുടരുന്നു, ഈ അറ്റകുറ്റപ്പണിയുടെ ഒരു ഭാഗവും അത് പ്രവർത്തനക്ഷമമെന്ന് അടയാളപ്പെടുത്താൻ ആവശ്യപ്പെടുന്നില്ല.

സേവന അക്കൗണ്ടായി പാതയിലൂടെ നടക്കുക

ഓരോ ഘടകവും അതിന്റെ ഉടമയും മോഡും സഹിതം പട്ടികപ്പെടുത്തുക, തുടർന്ന് സേവനത്തിന്റെ യഥാർത്ഥ ഐഡന്റിറ്റിയായി വായന ആവർത്തിക്കുക. നിങ്ങളുടെ ഷെല്ലും ഡീമണും തമ്മിലുള്ള വ്യത്യാസമാണ് പലപ്പോഴും മുഴുവൻ ഉത്തരം. സിംബോളിക് ലിങ്കുകൾ യഥാർത്ഥ ലക്ഷ്യത്തിലേക്ക് പിന്തുടരുക, കാരണം പരിശോധിക്കുന്നത് പരിഹരിച്ച പാതയാണ്.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

ഒരു സേവനത്തിന് ഒന്നിലധികം ഘട്ടങ്ങളിലും ഫയലുകൾ തുറക്കാം. ചില വസ്തുക്കൾ പ്രത്യേക അവകാശങ്ങളുള്ള ക്രമീകരണ വേളയിൽ വായിക്കപ്പെടുന്നു, മറ്റ് ഫയലുകൾ അവകാശങ്ങൾ ഉപേക്ഷിച്ചതിന് ശേഷം തുറക്കുന്നു. ഫയൽ വായിക്കുന്ന റൂട്ട് ഷെൽ പിന്നീടുള്ള വർക്കറുടെ പ്രവേശനം പുനർനിർമ്മിക്കുന്നില്ല. മൗണ്ട് നെയിംസ്പേസ് അതേ പാതയുടെ വ്യത്യസ്ത കാഴ്ച അവതരിപ്പിക്കാം, പ്രത്യേകിച്ച് ഒരു കണ്ടെയ്നറിനുള്ളിൽ, അതിനാൽ ഡീമണിന്റെ ഫയൽസിസ്റ്റം കാഴ്ച നിങ്ങളുടേതുമായി താരതമ്യം ചെയ്യുക.

യോജിക്കുന്ന ഏറ്റവും ഇടുങ്ങിയ അനുമതി മാറ്റുക

പ്രക്രിയയ്ക്ക് പ്രവേശനം നൽകുന്ന ഏറ്റവും ചെറിയ ക്രമീകരണം തിരഞ്ഞെടുക്കുക: ആവശ്യമായ ഡയറക്ടറികളിൽ തിരയലുള്ള നിയന്ത്രിത ഗ്രൂപ്പ്, സേവനം ഇതിനകം സ്വന്തമാക്കിയ നിയന്ത്രിത സ്ഥലം, അല്ലെങ്കിൽ മറ്റൊരു രേഖപ്പെടുത്തിയ സംവിധാനം. ഒരു ഫയൽ വായിക്കാൻ അതിന്റെ ഡയറക്ടറിയിൽ എഴുത്ത് അനുമതി ആവശ്യമില്ല. പ്രത്യേക അവകാശങ്ങളുള്ള കോൺഫിഗറേഷനിൽ വിശാലമായ ഗ്രൂപ്പ്-എഴുത്ത് അനുമതി സാധാരണ പാത അറ്റകുറ്റപ്പണിയല്ല. ആവർത്തന 0777-ഉം പരിഹാരമല്ല.

ഏത് ഘടകം എന്തിന് മാറ്റി എന്ന് രേഖപ്പെടുത്തുക. കാരണം രേഖപ്പെടുത്താത്ത അനുമതി മാറ്റം അവലോകനം ചെയ്യാൻ ബുദ്ധിമുട്ടാണ്, മറക്കാനും എളുപ്പമാണ്.

നടന്നതിന് ശേഷം മാത്രം മോഡുകൾക്കപ്പുറം നോക്കുക

മോഡ് ബിറ്റുകൾ മതിയെന്ന് തോന്നിയാൽ, ബാക്കിയുള്ള പരിശോധനകൾ ACL, സുരക്ഷാ നയം, സാൻഡ്ബോക്സ് നിയന്ത്രണങ്ങൾ എന്നിവയാണ്. മോഡ് ബിറ്റുകൾ ഇല്ലെന്ന് സൂചിപ്പിക്കുന്ന പ്രവേശനം ACL നൽകാം, അല്ലെങ്കിൽ അവ അനുവദിക്കുന്നതുപോലെ തോന്നുന്ന പ്രവേശനം നിഷേധിക്കാം. ആ ക്രമീകരണങ്ങൾ നിലവിലുള്ള കോൺഫിഗറേഷൻ ഉടമയുടേതാണ്, അവ ഓഫ് ചെയ്യുന്നതിനുപകരം ഇടുങ്ങിയതായി ക്രമീകരിക്കണം. റൂട്ട് അല്ലെങ്കിൽ പ്രവർത്തന ഡയറക്ടറിയുടെ വ്യത്യാസവും ഒരു സന്ദർഭത്തിൽ പ്രവർത്തിക്കുകയും മറ്റൊന്നിൽ പരാജയപ്പെടുകയും ചെയ്യുന്ന കേവല പാത വിശദീകരിക്കാം.

പ്രവേശനം ശരിയാക്കുമ്പോൾ ഫയൽ എന്താണെന്ന കാഴ്ച നഷ്ടപ്പെടുത്തരുത്. CA സർട്ടിഫിക്കറ്റ് രൂപകൽപ്പനയാൽ പൊതുവാണ്; സ്വകാര്യ കീ അല്ല. ക്ലയന്റ് വീണ്ടും എഴുതുന്ന ഫയലുകൾക്കും വായന-മാത്രം ഐഡന്റിറ്റി കീയിൽ നിന്ന് വ്യത്യസ്തമായ എഴുത്ത് അവകാശങ്ങൾ ആവശ്യമാണ്. രഹസ്യങ്ങൾ അച്ചടിക്കാതെ മെറ്റാഡാറ്റ പരിശോധിക്കുക, തുടർന്ന് മാറ്റത്തിന് ശേഷം സേവനം സ്വയം പ്രവർത്തിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. സേവന ഡോക്യുമെന്റേഷനിലെ ഒരു ചെറിയ കുറിപ്പ് അടുത്ത വ്യക്തിക്ക് അതേ നടത്തം ലാഭിക്കും.