Il-log jikber iżda ma jistax jerġa' jinħoloq: iċċekkja l-ACL tad-direttorju
Iżżid ma' fajl ma jeħtieġx isem ġdid fid-direttorju tiegħu; il-ħolqien jeħtieġ. Qabbel l-ACL tal-aċċess mal-valuri prestabbiliti wirtati qabel ma twessa' xi ħaġa.
Log li jkompli jikber jieqaf jikber fil-mument li xi ħaġa terġa' toħolqu, u l-iżball jgħid li l-permess ġie miċħud. Il-konklużjoni li tħajjar hija li l-fajl tal-log innifsu jeħtieġ aktar permessi, iżda l-fajl jista' diġà jkun miktub mill-istess kont. Iżżid ma' isem eżistenti u toħloq isem ġdid huma żewġ verifiki differenti, u t-tieni biss tikkonsulta d-direttorju.
Iżżid u toħloq huma verifiki differenti
Il-ftuħ ta' fajl eżistenti għaż-żieda jeħtieġ aċċess għall-kitba fuq dak il-fajl flimkien ma' aċċess għat-tiftix tul kull direttorju fil-mogħdija tiegħu. Il-ħolqien ta' fajl jeħtieġ kitba u tiftix fid-direttorju li jżommu, għax l-operazzjoni żżid isem miegħu. Is-sostituzzjoni ta' fajl permezz ta' bidla fl-isem tmiss ukoll iż-żewġ direttorji u r-regoli tal-sticky bit tagħhom.
| Operation | What must permit it | Typical failure message |
|---|---|---|
| Append to an existing log | File write access, path traversal | Permission denied on the file |
| Create a missing log | Directory write and search access | Permission denied on the path |
| Rename a replacement into place | Both directories, plus sticky restrictions | Permission denied or operation not permitted |
Deskrittur diġà miftuħ iżid ir-raba' każ. Proċess jista' jżomm mank tal-kitba miftuħ qabel ma ċeda l-privileġġi u xorta jfalli jerġa' jiftaħ l-istess mogħdija taħt l-identità tiegħu aktar tard. Iż-żidiet li jirnexxu u l-ħolqien li jfallu jistgħu t-tnejn ikunu veri, fl-istess mument, għall-istess proċess.
L-ACL prestabbiliti jintirtu, huma ma jagħtux
Entrata li tibda bil-prefiss prestabbilit jiddeskrivi x'jintirtu oġġetti ġodda mid-direttorju. Hija ma tagħti xejn lid-direttorju nnifsu, u ma ssewwix l-ACL ta' fajl li diġà jeżisti.
namei -l /var/log/openvpn/server.log
getfacl -p /var/log/openvpn
getfacl -p /var/log/openvpn/server.logAqra l-entrati tal-aċċess separatament minn dawk prestabbiliti, u aqra l-maskra. Entrata bl-isem li telenka drittijiet sħaħ xorta tista' tkun limitata mill-maskra, għalhekk il-kumment effettiv huwa aktar importanti mill-ittri fl-ewwel linja.
Uża l-mogħdija solvuta minflok il-mogħdija fil-konfigurazzjoni. Symlink, punt tal-mount jew direttorju mdawwar jistgħu jqiegħdu l-fajl veru f'post li l-permess li tajt qatt ma jasal għalih. Mexxi l-mogħdija bl-għodda tal-ismijiet l-ewwel, imbagħad qabbel kull livell mal-kont inkwistjoni. It-tbassir tad-direttorju tal-ogħla livell huwa kif tiswija tinżel livell wieħed għoli wisq.
Identifika min jikteb f'dak il-mument
Iċċekkja l-unità tas-servizz, id-drop-ins tagħha u s-settings tal-kont tad-daemon innifsu qabel ma tbiddel xi ħaġa. Il-proċess li jżid u l-proċess li joħloq mill-ġdid jistgħu jkunu differenti: assistent tar-rotazzjoni, kittieb tal-istat u qarrej tal-web rarament jaqsmu identità.
Prova mnedija minn qoxra root ma tirriproduċix servizz ristrett, u se tirnexxi waqt li s-servizz ikompli jfalli. Irriproduċi l-operazzjoni li falliet taħt l-istess unità, bl-istess kont u bl-istess settings tas-sandbox. Jekk ma tistax, ibda l-unità b'qoxra temporanja u ċċekkja l-identità li tirrapporta. Kull ħaġa oħra tkejjel it-terminal tiegħek, mhux is-servizz.
Jekk il-ħolqien huwa verament meħtieġ, agħti lill-kittieb aċċess għad-direttorju tal-log iddedikat u żomm l-aċċess tal-qari għall-konsumaturi separat. Li tagħmel kont kondiviż jew siġra sħiħa tal-applikazzjoni miktuba biex tissodisfa sejħa waħda tal-logging tbiddel problema żgħira ma' waħda kbira.
Dawwar mingħajr ma terġa' ddaħħalha
Min joħloq mill-ġdid il-fajl jiddeċiedi s-sid u l-mod tiegħu għaċ-ċiklu li jmiss, għalhekk ikkordina t-tiswija mal-konfigurazzjoni tar-rotazzjoni. Sostitut maħluq taħt kont differenti, jew b'ACL ġdid, iġib l-iżball lura wara tiswija li tirnexxi.
Issettja l-mod u l-grupp fil-ħolqien, mhux wara, u ivverifika r-rotazzjoni li jmiss mhux iż-żieda li jmiss. Iż-żieda biss tirrepeti l-prova li diġà għaddiet. Jekk l-għodda tar-rotazzjoni toffri setting tal-mod tal-ħolqien, użaha minflok chmod wara l-ħolqien. Il-vojt bejn il-ħolqien u chmod huwa preċiżament meta l-kitba li jmiss tista' tfalli.
Meta t-tqassir xorta jfalli, waqqaf milli żżid permessi
Il-falliment li tqassar fajl li tista' tikteb fih mhuwiex spjegat mill-permessi tad-direttorju, u li żżid aktar minnhom mhux se jgħin. Minflok ħares lejn l-attributi u l-konfinament: attribut append-only jippermetti kitba biss fil-mod taż-żieda, u mount biss-qari jew sandbox tas-servizz jistgħu jiċħdu operazzjoni li l-ACL jippermetti.
Iċċekkja r-restrizzjonijiet tas-sistema tal-fajls tal-unità u l-għażliet tal-mount għall-mogħdija, imbagħad irriproduċi l-operazzjoni eżatta li falliet. It-twessigħ ta' permess li qatt ma ġie kkonsultat biss jaħbi liema restrizzjoni kienet reali. Neħħi restrizzjoni waħda kull darba f'unità li tintrema, u erġa' ġġibha qabel ma tbiddel xi ħaġa permanenti.