Il-muftieħ VPN tiegħek jinqara minn kulħadd: x'għandek tissewwa

L-ewwel sinjal huwa normalment twissija, mhux ħsara. Klijent jirrifjuta li jgħabbi muftieħ għax il-fajl jinqara mill-grupp jew minn kulħadd, jew reviżjoni tas-sigurtà ssib client.key fil-modalità 644 f'direttorju tal-profil li fih ukoll pakketti esportati. Xejn għadu ma falla, u għalhekk stess it-twissija tiġi injorata. Il-muftieħ jaħdem, it-tunnel jogħla, u l-fajl jinqara minn kull kont fuq il-magna.

Is-sintomu huwa twissija ta' permess, mhux waqfa

Fuq sistema simili għal Unix, muftieħ privat għandu jinqara biss mill-kont li jħaddem is-servizz. Modalità 600 bis-sid korrett hija l-arranġament tas-soltu. Modalità 644 tfisser li kull utent lokali jista' jikkopja l-muftieħ, u fuq host tal-bini maqsum dan huwa udjenza reali.

Il-klijenti li jiċċekkjaw dan qed jagħmlulek favur. Dawk li ma jiċċekkjawx mhumiex prova li l-fajl huwa sikur, u konnessjoni b'suċċess ma tgħid xejn dwar min ieħor jista' jaqra l-materjal li għamilha possibbli. Ittratta t-twissija bħala s-sejba kollha. Hija preċiża, u waslet qabel ma xi ħadd ikkopja l-fajl.

Qabbel il-modalità mal-identità tas-servizz

Aċċess għas-sid biss jaqbel ma' muftieħ użat minn dak is-sid. Servizz bi grupp maqsum apposta jista' jkollu bżonn arranġament ikkontrollat differenti, bħal qari tal-grupp fuq muftieħ proprjetà ta' kont tas-servizz. Li tpoġġi kull fajl b'mod għama fuq modalità numerika waħda jkisser il-klijenti appoġġjati, u chmod -R 777 mhix soluzzjoni għal xejn.

Iċċekkja s-sid u l-kont tas-servizz qabel tibdel xi ħaġa. Iċ-ċertifikati CA pubbliċi u l-muftiħiet tal-identità privati għandhom rekwiżiti ta' segretezza differenti anki meta jkunu fl-istess direttorju, għalhekk modalità rikursiva fuq il-folder kollu tittratta t-tnejn bħala l-istess oġġett.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Fuq pjattaformi oħra, uża l-maħżen tal-muftiħiet jew il-mudell tal-kontroll tal-aċċess dokumentat minflok ma tittraduċi l-modalitajiet Unix f'konġettura. Isem tal-fajl li jispiċċa b'private huwa tikketta, mhux mekkaniżmu ta' infurzar.

Sib il-kopji li l-modalità ma tkoprix

Edituri, arkivji tal-backup, profili esportati u pakketti temporanji kull wieħed jista' jżomm l-istess identità. Ipproteġi dawk il-kopji skont il-kontenut tagħhom, għax li tissikka l-fajl oriġinali ma tagħmel xejn għal dak fit-tar tax-xahar li għadda.

Passphrase fuq fajl tal-muftieħ hija utli għal materjal maħżun u ma tiġġustifikax il-pubblikazzjoni tal-fajl encrypted ħdejn il-password tiegħu. Il-permessi jipproteġu l-oġġett attwali tas-sistema tal-fajls; ma jgħidu xejn dwar kredenzjali li diġà ġiet ikkupjata x'imkien ieħor.

Fittex il-kopji qabel ma tiddikjara x-xogħol lest: grep -rl il-linja tal-intestatura tal-muftieħ f'direttorji probabbli, u ħarsa lejn l-esklużjonijiet tal-backup. Ir-riżultat huwa normalment aktar interessanti mill-fajl li bdejt bih.

Wara t-tiswija, ivverifika u ibdel

Ittestja li s-servizz maħsub għadu jawtentika, imbagħad ikkonferma li l-ebda kont mhux meħtieġ ma kiseb aċċess. Illimita l-output dijanjostiku għall-metadata, għax l-istampar tal-muftieħ mhux meħtieġ biex jintwera li l-fajl jinqara u jqiegħed il-materjal f'log.

Jekk il-muftieħ kien espost, issikka l-modalità, imbagħad ibdel il-kredenzjali u revoka l-qadim. L-ispeċifikazzjoni POSIX chmod tispjega x'tfisser kull bit tal-modalità, li ta' min jaf qabel ma r-reviżjoni li jmiss titolbok tiġġustifika n-numru li għażilt.