Søkjerett på kvar mappe før nøkkelen

Modus 0600 og rett eigar garanterer ikkje at tenesta kan opne ein nøkkel. Den manglande løyva sit vanlegvis på ei mappe ovanfor. Linux løyser opp ein sti éin komponent om gongen, og kvart steg krev søkjerett før det neste blir prøvd. Les heile stien, ikkje den siste lina i opplistinga.

Leserett er det siste steget, ikkje det einaste

Å opne ei fil krev at kjernen går frå rota eller arbeidsmappa gjennom kvar komponent i stien. Ei mappe utan søkjerett stoppar den gjennomgangen med ein løyvefeil. Modusen til sjølve fila blir aldri undersøkt, så ein fullt lesbar nøkkel ser uleseleg ut. Feilen kjem ofte ved opning utan å namngje mappa, og difor får den siste fila skulda.

For ei mappe tyder køyringsbiten søk, ikkje køyring av innhaldet. Ein nøkkel blir verande data, og ingen del av denne reparasjonen krev at han blir merkt som køyrbar.

Gå stien som tenestekontoen

List kvar komponent med eigar og modus, og gjer så lesinga om att som den faktiske identiteten til tenesta. Skilnaden mellom skala di og daemonen er ofte heile svaret. Følg symbolske lenkjer til det verkelege målet, fordi det er den oppløyste stien som blir kontrollert.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Ei teneste kan også opne filer i meir enn éin fase. Noko materiale blir lese under privilegert oppsett, medan andre filer blir opna etter at privilegium er sleppte. Ei root-skal som les fila, attskapar ikkje tilgangen til den seinare arbeidaren. Eit mount-namnerom kan vise ei anna vising av same sti, særleg inne i ein container, så samanlikn filsystemvisinga til daemonen med di.

Endre den smalaste løyva som passar

Vel den minste ordninga som gjev prosessen tilgang: ei kontrollert gruppe med søk på dei nødvendige mappene, ein administrert stad tenesta alt eig, eller ein annan dokumentert mekanisme. Lesing av ei fil krev ikkje skriverett på mappa. Brei gruppe-skriverett på privilegert konfigurasjon er ikkje ein normal gjennomgangsreparasjon. Rekursiv 0777 er heller ikkje ei løysing.

Noter kva komponent du endra og kvifor. Ei løyveendring utan notert grunn er vanskeleg å gå gjennom og lett å gløyme.

Sjå forbi modus først etter gjennomgangen

Viss modusbitane verkar tilstrekkelege, er dei resterande kontrollane ACL-ar, tryggleikspolitikk og sandbox-avgrensingar. Ein ACL kan gje tilgang som modusbitane antydar manglar, eller nekte tilgang som dei ser ut til å tillate. Desse innstillingane høyrer til den eksisterande konfigurasjonseigaren, og dei bør justerast smalt i staden for å slåast av. Ein skilnad i rot eller arbeidsmappe kan også forklare ein absolutt sti som verkar i éin samanheng og feilar i ein annan.

Mist ikkje oversikta over kva fila er medan du rettar tilgangen. Eit CA-sertifikat er offentleg av design; ein privat nøkkel er det ikkje. Filer klienten skriv om, treng også andre skriverettar enn ein identitetsnøkkel som er skriveverna. Undersøk metadata utan å skrive ut løyndomar, og stadfest deretter at tenesta sjølv verkar etter endringa. Eit kort notat i tenestedokumentasjonen sparer neste person den same gjennomgangen.