तपाईंको VPN कुञ्जी सबैले पढ्न सक्छन्: के सुधार्ने

पहिलो संकेत सामान्यतया चेतावनी हो, खराबी होइन। कुनै क्लाइन्टले कुञ्जी लोड गर्न अस्वीकार गर्छ किनभने फाइल समूह वा सबैका लागि पढ्न योग्य छ, वा सुरक्षा समीक्षाले निर्यात गरिएका बन्डलहरू पनि भएको प्रोफाइल निर्देशिकामा client.key 644 मोडमा भेट्टाउँछ। अझै केही असफल भएको छैन, र ठ्याक्कै त्यसैले चेतावनीलाई बेवास्ता गरिन्छ। कुञ्जी काम गर्छ, टनेल माथि आउँछ, र फाइल मेसिनको हरेक खाताका लागि पढ्न योग्य छ।

लक्षण अनुमति चेतावनी हो, अवरोध होइन

युनिक्स जस्तो प्रणालीमा निजी कुञ्जी सेवा चलाउने खाताका लागि मात्र पढ्न योग्य हुनुपर्छ। सही मालिकसँग 600 मोड सामान्य व्यवस्था हो। 644 मोडको अर्थ हरेक स्थानीय प्रयोगकर्ताले कुञ्जीको प्रतिलिपि बनाउन सक्छ, र साझा बिल्ड होस्टमा त्यो वास्तविक दर्शक हो।

यो जाँच्ने क्लाइन्टहरूले तपाईंमाथि उपकार गर्छन्। जसले जाँच्दैनन् तिनी फाइल सुरक्षित भएको प्रमाण होइनन्, र सफल जडानले त्यो सम्भव बनाएको सामग्री अरू कसले पढ्न सक्छ भन्नेबारे केही भन्दैन। चेतावनीलाई नै पूरा निष्कर्ष मान्नुहोस्। यो सटीक छ, र कसैले फाइलको प्रतिलिपि बनाउनुअघि आएको छ।

मोडलाई सेवाको पहिचानसँग मिलाउनुहोस्

केवल मालिकको पहुँच त्यही मालिकले प्रयोग गर्ने कुञ्जीका लागि उपयुक्त हुन्छ। जानाजान साझा समूह भएको सेवालाई अर्को नियन्त्रित व्यवस्था चाहिन सक्छ, जस्तै सेवा खाताको स्वामित्वको कुञ्जीमा समूह पठन। हरेक फाइललाई अन्धाधुन्ध एउटै सङ्ख्यात्मक मोडमा राख्नु समर्थित क्लाइन्टहरू तोड्छ, र chmod -R 777 कुनै कुराको समाधान होइन।

केही बदल्नुअघि मालिक र सेवा खाता जाँच्नुहोस्। सार्वजनिक CA प्रमाणपत्रहरू र निजी पहिचान कुञ्जीहरूको गोपनीयता आवश्यकता फरक हुन्छ, ती एउटै निर्देशिकामा भए पनि, त्यसैले पूरै फोल्डरमा लागू हुने पुनरावृत्ति मोडले दुवैलाई एउटै वस्तु मान्छ।

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

अन्य प्लेटफर्ममा युनिक्स मोडलाई अनुमानमा अनुवाद गर्नुको सट्टा कागजात गरिएको कुञ्जी भण्डार वा पहुँच-नियन्त्रण मोडेल प्रयोग गर्नुहोस्। private मा अन्त्य हुने फाइल नाम लेबल हो, प्रवर्तन संयन्त्र होइन।

मोडले समेट्न नसकेका प्रतिलिपिहरू खोज्नुहोस्

सम्पादक, ब्याकअप अभिलेख, निर्यात गरिएका प्रोफाइल र अस्थायी बन्डलहरूले प्रत्येकले एउटै पहिचान राख्न सक्छन्। ती प्रतिलिपिहरूलाई तिनको सामग्रीअनुसार सुरक्षित राख्नुहोस्, किनभने मूल फाइल कस्नुले गत महिनाको टारबलमा भएको प्रतिलिपिका लागि केही गर्दैन।

कुञ्जी फाइलमा पासफ्रेज भण्डारण गरिएको सामग्रीका लागि उपयोगी हुन्छ र इन्क्रिप्टेड फाइललाई यसको पासवर्डसँगै प्रकाशित गर्ने औचित्य दिँदैन। अनुमतिले हालको फाइलसिस्टम वस्तुको रक्षा गर्छ; अन्तै पहिले नै प्रतिलिपि गरिएको प्रमाणपत्रबारे तिनी केही भन्दैनन्।

काम सकियो भनी घोषणा गर्नुअघि प्रतिलिपिहरू खोज्नुहोस्: grep -rl सम्भावित निर्देशिकामा कुञ्जीको हेडर लाइन, र ब्याकअप बहिष्करणहरूमा एक नजर। नतिजा सामान्यतया तपाईंले सुरु गरेको फाइलभन्दा बढी रोचक हुन्छ।

सुधारपछि, प्रमाणित गर्नुहोस् र बदल्नुहोस्

इच्छित सेवाले अझै प्रमाणीकरण गर्छ कि जाँच्नुहोस्, त्यसपछि कुनै अनावश्यक खाताले पहुँच नपाएको पुष्टि गर्नुहोस्। निदान आउटपुट मेटाडेटामा सीमित राख्नुहोस्, किनभने फाइल पढ्न योग्य छ भनी प्रमाणित गर्न कुञ्जी छाप्न आवश्यक छैन र यसले सामग्रीलाई लगमा राख्छ।

कुञ्जी खुलासा भएको भए, मोड कस्नुहोस्, त्यसपछि प्रमाणपत्र बदल्नुहोस् र पुरानो रद्द गर्नुहोस्। POSIX chmod विशिष्टता ले प्रत्येक मोड बिटको अर्थ बताउँछ, जुन अर्को समीक्षाले तपाईंले छानेको सङ्ख्याको औचित्य माग्नुअघि जान्न योग्य छ।