IPsec-status inspecteren zonder de sleutels te publiceren

Een IPsec-statusdump is geen statusrapport, en hem zo behandelen is precies hoe sleutelmateriaal in een openbare issuetracker belandt. Sommige uitvoer van kernelinspectie bevat de verkeerssleutels die de kernel gebruikt, naast adressen, selectors en tellers die echt nuttig zijn. De veilige gewoonte is eerst het overzicht verzamelen en pas naar de ruwe status grijpen als het overzicht de vraag niet kan beantwoorden. Als u toch naar de ruwe status moet kijken, kijk dan lokaal en deel iets smalers.

Controle 1: kan dit artefact de machine überhaupt verlaten

Een configuratiebestand, een privésleutel, een onbeperkte pakketopname en een ruwe statusdump zijn allemaal geheimen tot het tegendeel is bewezen. Een commando dat sleutels afdrukt wordt niet veilig doordat u het voor diagnose hebt uitgevoerd.

De regel is eenvoudig genoeg om in één zin te zeggen: deel de observatie die de vraag beantwoordt, niet de machinetoestand die haar heeft voortgebracht.

Controle 2: kies het overzichtscommando, niet de statusdump

Voor strongSwan toont swanctl --list-sas het associatieoverzicht: identiteiten, geïnstalleerde child-SA’s, toestanden en tellers. Het vereist de ruwe sleuteldump niet en het is het eerste dat u in een ticket plakt. Aan de kernelzijde ondersteunt iproute2 ip xfrm state list nokeys op versies die de optie documenteren, wat sleutelmateriaal onderdrukt terwijl de associatievelden behouden blijven.

Bevestig de syntaxis in de lokale handleiding voordat u erop vertrouwt, want de optie staat niet in elke release, en een algemene statuslijst zonder haar is een ander commando met andere uitvoer. ip xfrm state draaien op een oude build om te zien of de vlag bestaat is precies de fout waarover deze checklist gaat.

Controle 3: noteer alleen wat het onderzoek nodig heeft

Associatiestatus, algoritmen, selectors, tijdstempels, richting en de relevante tellers zijn meestal genoeg. Accountidentiteiten, openbare adressen en interne topologie vaak niet, en ze kunnen worden geredigeerd zonder diagnostische waarde te verliezen.

Redigeer standaard en voeg op verzoek weer toe. Wie uw ticket leest, kan om nog een veld vragen; maar hij kan een geplakte sleutel niet ongezien maken.

Er is een middenweg die het kennen waard is: ook een overzicht kan gevoelig zijn. Identiteiten, peer-adressen en child-namen beschrijven uw topologie, en in sommige organisaties is dat op zichzelf beperkte informatie. Bepaal wie het publiek is voordat u plakt, en geef de voorkeur aan een kanaal met de juiste toegangscontrole boven een openbaar issue. Een veilig commando is niet hetzelfde als een veilige bestemming.

Controle 4: correleer één poging aan beide uiteinden

Leg de client en de gateway vast voor dezelfde verbindingspoging, op hetzelfde moment, en zorg dat de associatie die u beschrijft degene is die die poging heeft opgeleverd. Een verouderde child-SA uit een eerdere poging mengen met een verse routesnapshot levert een rapport op dat intern consistent en volledig misleidend is.

Identificeer de associatie aan haar unieke identificatoren en niet aan de tunnel, en noteer de richting van de storing. Als het symptoom geen verkeer in één richting is, zeg dan welke richting en voeg een onschadelijke testbestemming toe, zodat de lezer over het pad kan nadenken in plaats van te gokken. Een teller die in de ene richting nul is en in de andere stijgt lokaliseert het probleem veel beter dan welke sleuteldump dan ook. Houd de tijdstempels in één tijdzone en zeg welke.

Controle 5: wat te doen als materiaal al is blootgesteld

Het verwijderen van de bijlage bewijst niet dat niemand hem heeft bewaard, en een openbare plak wordt snel gekopieerd.

Behandel dat als een incident en gebruik het vervangingsproces van de operator: roteer de getroffen sleutels of inloggegevens, controleer of de blootstelling een breder compromis betekent, en volg het toepasselijke meldingspad. De technische opruiming is het makkelijke deel; de aanname dat niemand het heeft gelezen is het moeilijke.

De duurzame praktijk is een kleine sjabloon die u invult voordat u plakt: welk uiteinde, welke associatie-identificator, welke richting, welke teller en wat al is uitgesloten. De documentatie van swanctl list-sas beschrijft de overzichtsvelden, en dat is wat de meeste tickets echt nodig hebben. Al het andere is op verzoek beschikbaar voor wie het nodig heeft. Een diagnoserapport hoort bewijs te bevatten, geen toegang.