Түлхүүрийн өмнө каталог бүрийн хайлтын зөвшөөрөл

0600 горим болон зөв эзэмшигч нь үйлчилгээ түлхүүрийг нээж чадна гэдгийг батлахгүй. Дутуу зөвшөөрөл ихэвчлэн түүний дээрх каталог дээр байдаг. Linux замыг нэг удаад нэг бүрэлдэхүүнээр шийддэг бөгөөд алхам бүр дараагийнхыг туршихаас өмнө хайлтын зөвшөөрөл шаарддаг. Бүх замыг уншина уу, жагсаалтын сүүлийн мөрийг биш.

Унших зөвшөөрөл нь сүүлийн алхам бөгөөд цорын ганц биш

Файл нээхийн тулд цөм үндэс буюу ажлын каталогаас замын бүрэлдэхүүн бүрээр дамжих ёстой. Хайлтын зөвшөөрөлгүй каталог тэр явахыг зөвшөөрлийн алдаагаар зогсоодог. Файлын өөрийн горим хэзээ ч харагддаггүй тул бүрэн уншигдахуйц түлхүүр уншигдахгүй мэт харагддаг. Алдаа нь ихэвчлэн нээх үед каталогын нэрийг дурдалгүй гарч ирдэг тул сүүлийн файлыг буруутгадаг.

Каталогийн хувьд гүйцэтгэх бит нь хайлт гэсэн үг бөгөөд агуулгыг гүйцэтгэх биш. Түлхүүр нь өгөгдөл хэвээр үлддэг бөгөөд энэ засварын аль ч хэсэг үүнийг гүйцэтгэх боломжтой гэж тэмдэглэхийг шаарддаггүй.

Замыйг үйлчилгээний бүртгэлээр туулаарай

Бүрэлдэхүүн бүрийг эзэмшигч, горимын хамт жагсааж, дараа нь уншилтыг үйлчилгээний бодит таних тэмдэгээр давтана. Таны бүрхүүл болон демон хоёрын ялгаа нь ихэвчлэн бүх хариулт юм. Симбол холбоосыг бодит зорилт хүртэл дагаарай, учир нь шийдэгдсэн замыг шалгадаг.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Үйлчилгээ файлуудыг нэгээс олон үе шатанд нээж болно. Зарим материалыг эрх мэдэлтэй тохируулгын үед уншдаг бол бусад файлыг эрх мэдэл буулгасны дараа нээдэг. Файлыг уншиж буй root бүрхүүл хожуу ажилтны хандалтыг хуулбарладаггүй. Холболтын нэрийн орон зай нэг замын өөр дүр зургийг үзүүлж болно, ялангуяа контейнер дотор, тиймээс демоны файлын системийн дүр зургийг өөрийнхтэй харьцуулаарай.

Тохирох хамгийн нарийн зөвшөөрлийг өөрчил

Процесст хандалт өгөх хамгийн бага зохицуулалтыг сонго: шаардлагатай каталогуудад хайлттай хяналттай бүлэг, үйлчилгээ аль хэдийн эзэмшдэг удирдлагатай байршил, эсвэл өөр баримтжуулсан механизм. Файл уншихад түүний каталог дээр бичих зөвшөөрөл шаардлагагүй. Эрх мэдэлтэй тохиргоо дээр бүлгийн өргөн бичих зөвшөөрөл нь ердийн нэвтрэлтийн засвар биш. Рекурсив 0777 нь ч шийдэл биш.

Аль бүрэлдэхүүнийг, яагаад өөрчилснөө тэмдэглэ. Шалтгаангүй бүртгэсэн зөвшөөрлийн өөрчлөлтийг хянахад хэцүү, мартахад амар.

Горимоос зөвхөн нэвтрэлтийн дараа хар

Хэрэв горимын битүүд хангалттай харагдаж байвал үлдсэн шалгалтууд нь ACL, аюулгүй байдлын бодлого, sandbox хязгаарлалт юм. ACL нь горимын битүүд байхгүй гэж илэрхийлж буй хандалтыг өгч болно, эсвэл тэдгээр зөвшөөрч байгаа мэт харагдах хандалтыг татгалзаж болно. Тэдгээр тохиргоо нь одоо байгаа тохиргооны эзэмшигчид хамаарах бөгөөд тэдгээрийг унтраахын оронд нарийн тохируулах хэрэгтэй. Үндэс эсвэл ажлын каталогийн ялгаа нь нэг нөхцөлд ажиллаж, нөгөөд нь бүтэлгүйтдэг үнэмлэхүй замыг ч тайлбарлаж болно.

Хандалтыг засахдаа файл гэж юу болохыг алдаж болохгүй. CA гэрчилгээ нь дизайнаар нийтийн, хувийн түлхүүр тийм биш. Клиент дахин бичдэг файлуудад зөвхөн уншигдах таних тэмдгийн түлхүүрээс өөр бичих эрх хэрэгтэй. Нууцыг хэвлэхгүйгээр мета өгөгдлийг шалгаарай, дараа нь өөрчлөлтийн дараа үйлчилгээ өөрөө ажиллаж байгаа эсэхийг баталгаажуулаарай. Үйлчилгээний баримт бичигт богино тэмдэглэл дараагийн хүнд мөн адил нэвтрэлтийг хэмнэнэ.