Kunci VPN anda boleh dibaca oleh semua orang: apa yang perlu dibaiki

Tanda pertama biasanya amaran, bukan kegagalan. Klien enggan memuatkan kunci kerana fail boleh dibaca oleh kumpulan atau semua orang, atau semakan keselamatan menemui client.key pada mod 644 dalam direktori profil yang juga mengandungi berkas eksport. Belum ada apa-apa yang gagal, dan itulah sebabnya amaran itu diabaikan. Kunci berfungsi, terowong naik, dan fail boleh dibaca oleh setiap akaun pada mesin.

Gejalanya amaran kebenaran, bukan gangguan

Pada sistem seperti Unix, kunci peribadi sepatutnya hanya boleh dibaca oleh akaun yang menjalankan perkhidmatan. Mod 600 dengan pemilik yang betul ialah susunan biasa. Mod 644 bermaksud setiap pengguna tempatan boleh menyalin kunci, dan pada hos build kongsi itu adalah khalayak sebenar.

Klien yang menyemak perkara ini memberi anda nikmat. Yang tidak menyemak bukan bukti fail itu selamat, dan sambungan yang berjaya tidak berkata apa-apa tentang siapa lagi yang boleh membaca bahan yang menjadikannya mungkin. Anggap amaran itu sebagai keseluruhan penemuan. Ia tepat, dan ia tiba sebelum sesiapa menyalin fail itu.

Padankan mod dengan identiti perkhidmatan

Akses pemilik sahaja sesuai untuk kunci yang digunakan oleh pemilik itu. Perkhidmatan dengan kumpulan kongsi yang disengajakan mungkin memerlukan susunan terkawal yang lain, seperti baca kumpulan pada kunci milik akaun perkhidmatan. Menetapkan satu mod berangka secara buta pada semua fail merosakkan klien yang disokong, dan chmod -R 777 bukan penyelesaian kepada apa-apa.

Semak pemilik dan akaun perkhidmatan sebelum mengubah apa-apa. Sijil CA awam dan kunci identiti peribadi mempunyai keperluan kerahsiaan yang berbeza walaupun berada dalam direktori yang sama, jadi mod rekursif pada keseluruhan folder menganggap kedua-duanya sebagai objek yang sama.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Pada platform lain, gunakan stor kunci atau model kawalan akses yang didokumenkan daripada menterjemah mod Unix menjadi tekaan. Nama fail yang berakhir dengan private ialah label, bukan mekanisme penguatkuasaan.

Cari salinan yang tidak diliputi mod

Editor, arkib sandaran, profil eksport dan berkas sementara masing-masing boleh mengekalkan identiti yang sama. Lindungi salinan itu mengikut kandungannya, kerana mengetatkan fail asal tidak melakukan apa-apa untuk yang berada dalam tar bulan lepas.

Frasa laluan pada fail kunci berguna untuk bahan tersimpan dan tidak mewajarkan penerbitan fail tersulit itu di sebelah kata laluannya. Kebenaran melindungi objek sistem fail semasa; ia tidak berkata apa-apa tentang kelayakan yang sudah disalin ke tempat lain.

Cari salinan sebelum mengisytiharkan kerja selesai: grep -rl baris tajuk kunci dalam direktori yang mungkin, dan lihat pengecualian sandaran. Hasilnya biasanya lebih menarik daripada fail yang anda mulakan.

Selepas pembetulan, sahkan dan tukar

Uji bahawa perkhidmatan yang dimaksudkan masih mengesahkan, kemudian pastikan tiada akaun yang tidak perlu mendapat akses. Hadkan output diagnostik kepada metadata, kerana mencetak kunci tidak perlu untuk membuktikan fail boleh dibaca dan ia meletakkan bahan itu dalam log.

Jika kunci terdedah, ketatkan mod, kemudian ganti kelayakan dan batalkan yang lama. Spesifikasi POSIX chmod menerangkan maksud setiap bit mod, yang wajar diketahui sebelum semakan seterusnya meminta anda mewajarkan nombor yang dipilih.