VPN-nøkkelen din er lesbar for alle: kva du må rette

Det første teiknet er vanlegvis ei åtvaring, ikkje eit havari. Ein klient nektar å laste ein nøkkel fordi fila er lesbar for gruppa eller for alle, eller ein tryggleiksgjennomgang finn client.key med modus 644 i ei profilmappe som også inneheld eksporterte pakkar. Ingenting har svikta enno, og nettopp difor blir åtvaringa avvist. Nøkkelen verkar, tunnelen kjem opp, og fila er lesbar for kvar konto på maskinen.

Symptomet er ei løyveåtvaring, ikkje eit utfall

På eit Unix-liknande system bør ein privat nøkkel berre vere lesbar for kontoen som køyrer tenesta. Modus 600 med rett eigar er den vanlege ordninga. Modus 644 betyr at kvar lokal brukar kan kopiere nøkkelen, og på ein delt build-vert er det eit reelt publikum.

Klientar som sjekkar dette gjer deg ei teneste. Dei som ikkje gjer det, er ikkje bevis for at fila er trygg, og ei vellukka tilkopling seier ingenting om kven andre som kan lese materialet som gjorde ho mogleg. Behandle åtvaringa som heile funnet. Ho er nøyaktig, og ho kom før nokon kopierte fila.

Tilpass modusen til identiteten til tenesta

Tilgang berre for eigaren passar til ein nøkkel som eigaren brukar. Ei teneste med ei medvite delt gruppe kan trenge ei anna kontrollert ordning, til dømes gruppelesing på ein nøkkel som ein tenestekonto eig. Å setje alle filer blindt til éin numerisk modus bryt støtta klientar, og chmod -R 777 er inga løysing på noko.

Sjekk eigaren og tenestekontoen før du endrar noko. Offentlege CA-sertifikat og private identitetsnøklar har ulike krav til løyndom sjølv når dei ligg i same mappe, så ein rekursiv modus på heile mappa behandlar dei to som same objekt.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

På andre plattformer brukar du det dokumenterte nøkkellageret eller tilgangskontrollmodellen i staden for å omsetje Unix-modus til ei gissing. Eit filnamn som sluttar på private er ei etikett, ikkje ein handhevingsmekanisme.

Finn kopiane som modusen ikkje dekkjer

Editorar, tryggleikskopiarkiv, eksporterte profilar og mellombelse pakkar kan kvar halde på same identitet. Vern desse kopiane etter innhaldet, fordi stramming av den opphavlege fila gjer ingenting for den i førre månads tar-arkiv.

Ein passfrase på ei nøkkelfil er nyttig for lagra materiale og rettferdiggjer ikkje å publisere den krypterte fila ved sida av passordet. Løyve vernar gjeldande filsystemobjekt; dei seier ingenting om ein legitimasjon som alt er kopiert ein annan stad.

Sjå etter kopiane før du erklærer jobben ferdig: grep -rl overskriftslina til nøkkelen i sannsynlege mapper, og eit blikk på unntak for tryggleikskopiar. Resultatet er vanlegvis meir interessant enn fila du starta med.

Etter rettinga, verifiser og byt

Test at den tiltenkte tenesta framleis autentiserer, og stadfest deretter at ingen unødvendig konto har fått tilgang. Avgrens diagnostisk utdata til metadata, fordi utskrift av nøkkelen ikkje er nødvendig for å prove at fila er lesbar og det legg materialet i ein logg.

Om nøkkelen har vore eksponert, stram modusen, og byt deretter legitimasjonen og trekk tilbake den gamle. POSIX chmod-spesifikasjonen forklarer kva kvar modusbit tyder, noko det er verdt å vite før neste gjennomgang ber deg grunngje talet du valde.