VPN-nøkkelen din er lesbar for alle: hva du må rette

Det første tegnet er vanligvis en advarsel, ikke et havari. En klient nekter å laste en nøkkel fordi filen er lesbar for gruppen eller for alle, eller en sikkerhetsgjennomgang finner client.key med modus 644 i en profilmappe som også inneholder eksporterte pakker. Ingenting har sviktet ennå, og nettopp derfor blir advarselen avvist. Nøkkelen virker, tunnelen kommer opp, og filen er lesbar for hver konto på maskinen.

Symptomet er en tillatelsesadvarsel, ikke et utfall

På et Unix-lignende system bør en privat nøkkel bare være lesbar for kontoen som kjører tjenesten. Modus 600 med riktig eier er den vanlige ordningen. Modus 644 betyr at enhver lokal bruker kan kopiere nøkkelen, og på en delt build-vert er det et reelt publikum.

Klienter som sjekker dette gjør deg en tjeneste. De som ikke gjør det, er ikke bevis for at filen er trygg, og en vellykket tilkobling sier ingenting om hvem andre som kan lese materialet som gjorde den mulig. Behandle advarselen som hele funnet. Den er nøyaktig, og den kom før noen kopierte filen.

Tilpass modusen til tjenestens identitet

Tilgang bare for eieren passer til en nøkkel som eieren bruker. En tjeneste med en bevisst delt gruppe kan trenge en annen kontrollert ordning, for eksempel gruppelesing på en nøkkel som eies av en tjenestekonto. Å sette alle filer blindt til én numerisk modus bryter støttede klienter, og chmod -R 777 er ikke en løsning på noe.

Sjekk eieren og tjenestekontoen før du endrer noe. Offentlige CA-sertifikater og private identitetsnøkler har ulike krav til hemmelighold selv når de ligger i samme mappe, så en rekursiv modus på hele mappen behandler de to som samme objekt.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

På andre plattformer bruker du det dokumenterte nøkkellageret eller tilgangskontrollmodellen i stedet for å oversette Unix-modus til en gjetning. Et filnavn som slutter på private er en etikett, ikke en håndhevingsmekanisme.

Finn kopiene som modusen ikke dekker

Editorer, sikkerhetskopiarkiver, eksporterte profiler og midlertidige pakker kan hver beholde samme identitet. Beskytt disse kopiene etter innholdet, fordi stramming av den opprinnelige filen ikke gjør noe for den i forrige måneds tar-arkiv.

En passfrase på en nøkkelfil er nyttig for lagret materiale og rettferdiggjør ikke å publisere den krypterte filen ved siden av passordet. Tillatelser beskytter gjeldende filsystemobjekt; de sier ingenting om en legitimasjon som allerede er kopiert et annet sted.

Se etter kopiene før du erklærer jobben ferdig: grep -rl nøkkelens overskriftslinje i sannsynlige mapper, og en titt på unntak for sikkerhetskopier. Resultatet er vanligvis mer interessant enn filen du startet med.

Etter rettelsen, verifiser og bytt

Test at den tiltenkte tjenesten fortsatt autentiserer, og bekreft deretter at ingen unødvendig konto har fått tilgang. Begrens diagnostisk utdata til metadata, fordi utskrift av nøkkelen ikke er nødvendig for å bevise at filen er lesbar og det legger materialet i en logg.

Hvis nøkkelen har vært eksponert, stram modusen, og bytt deretter legitimasjonen og tilbakekall den gamle. POSIX chmod-spesifikasjonen forklarer hva hver modusbit betyr, noe det er verdt å vite før neste gjennomgang ber deg begrunne tallet du valgte.