Permess ta’ tfittxija f’kull direttorju qabel il-muftieħ

Il-mod 0600 u s-sid korrett ma jiggarantixxux li s-servizz jista’ jiftaħ muftieħ. Il-permess nieqes normalment ikun fuq direttorju fuq il-muftieħ. Linux issolvi passa komponent wieħed kull darba, u kull pass jeħtieġ permess ta’ tfittxija qabel ma jiġi ppruvat dak li jmiss. Aqra l-passa kollu, mhux l-aħħar linja tal-lista.

Il-permess tal-qari huwa l-aħħar pass, mhux l-uniku

Jiftaħ fajl jeħtieġ li l-qalba tgħaddi mill-għerq jew mid-direttorju tax-xogħol permezz ta’ kull komponent tal-passa. Direttorju mingħajr permess ta’ tfittxija jwaqqaf dak il-mixi b’żball ta’ permess. Il-mod tal-fajl innifsu qatt ma jiġi kkonsultat, għalhekk muftieħ li jinqara perfettament jidher li ma jinqarax. L-iżball spiss jiġi fil-ħin tal-ftuħ mingħajr ma semmi d-direttorju, u għalhekk jiġi akkużat l-aħħar fajl.

Għal direttorju, il-bit tal-eżekuzzjoni jfisser tfittxija, mhux eżekuzzjoni tal-kontenut. Muftieħ jibqa’ data, u l-ebda parti minn dan it-tiswija ma teħtieġ li jiġi mmarkat bħala eżegwibbli.

Għaddi mill-passa bħala l-kont tas-servizz

Elenka kull komponent mas-sid u l-mod tiegħu, imbagħad erġa’ agħmel il-qari bħala l-identità reali tas-servizz. Id-differenza bejn il-qoxra tiegħek u d-daemon spiss tkun it-tweġiba kollha. Segwi l-links simboliċi sal-mira reali, għax il-passa solvuta hija dik li tiġi ċċekkjata.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Servizz jista’ wkoll jiftaħ fajls f’aktar minn fażi waħda. Xi materjal jinqara waqt it-tħejjija privileġġata, filwaqt li fajls oħra jinfetħu wara li l-privileġġi jintefgħu. Qoxra root li taqra l-fajl ma tirriproduċix l-aċċess tal-ħaddiem aktar tard. Namespace tal-mount jista’ jippreżenta veduta differenti tal-istess passa, speċjalment ġewwa container, għalhekk qabbel il-veduta tas-sistema tal-fajls tad-daemon ma’ tiegħek.

Ibdel l-iktar permess dejjaq li jaqbel

Agħżel l-iżgħar arranġament li jagħti aċċess lill-proċess: grupp ikkontrollat b’tfittxija fuq id-direttorji meħtieġa, post immexxi li s-servizz diġà jippossjedi, jew mekkaniżmu ieħor dokumentat. Qari ta’ fajl ma jeħtieġx permess tal-kitba fuq id-direttorju tiegħu. Permess wiesa’ tal-kitba tal-grupp fuq konfigurazzjoni privileġġata mhuwiex tiswija normali tat-traversata. L-0777 rikursiv lanqas mhuwa soluzzjoni.

Innota liema komponent biddilt u għaliex. Bidla ta’ permess mingħajr raġuni mnizzla hija diffiċli biex tiġi riveduta u faċli biex tintesa.

Ħares lil hinn mill-modi biss wara l-mixi

Jekk il-bits tal-mod jidhru biżżejjed, il-kontrolli li jifdal huma ACL, politika tas-sigurtà u restrizzjonijiet tas-sandbox. ACL jista’ jagħti aċċess li l-bits tal-mod jissuġġerixxu li huwa assenti, jew jirrifjuta aċċess li jidhru li jippermettu. Dawk is-settings jappartjenu lis-sid eżistenti tal-konfigurazzjoni, u għandhom jiġu aġġustati dejjaq minflok ma jitfew. Differenza fl-għerq jew fid-direttorju tax-xogħol tista’ wkoll tispjega passa assoluta li taħdem f’kuntest u tfalli f’ieħor.

Titlifx il-veduta ta’ x’inhu l-fajl waqt li tkun qed issewwi l-aċċess. Ċertifikat CA huwa pubbliku b’disinn; muftieħ privat mhuwiex. Fajls li l-klijent jerġa’ jikteb jeħtieġu wkoll drittijiet tal-kitba differenti minn muftieħ tal-identità li jinqara biss. Spezzjona l-metadata mingħajr ma tistampa sigrieti, imbagħad ikkonferma li s-servizz innifsu jaħdem wara l-bidla. Nota qasira fid-dokumentazzjoni tas-servizz tiffranka l-istess mixi lill-persuna li jmiss.