Jak sprawdzić stan IPsec bez publikowania jego kluczy

Zrzut stanu IPsec nie jest raportem o stanie, a traktowanie go jak raportu to właśnie droga, którą materiał kluczy trafia do publicznego trackera problemów. Niektóre wyjścia inspekcji jądra zawierają klucze ruchu używane przez jądro, wraz z adresami, selektorami i licznikami, które naprawdę się przydają. Bezpieczny nawyk to najpierw zebrać podsumowanie, a po surowy stan sięgać tylko wtedy, gdy podsumowanie nie potrafi odpowiedzieć na pytanie. Jeśli mimo to musisz spojrzeć na surowy stan, patrz lokalnie i udostępniaj coś węższego.

Test 1: czy ten artefakt może w ogóle opuścić maszynę

Plik konfiguracyjny, klucz prywatny, nieograniczone przechwytywanie pakietów i surowy zrzut stanu są wszystkie tajemnicami, dopóki nie zostanie dowiedzione przeciwieństwo. Polecenie drukujące klucze nie staje się bezpieczne dlatego, że uruchomiono je do diagnostyki.

Zasada jest dość prosta, by wyrazić ją w jednym zdaniu: udostępniaj obserwację, która odpowiada na pytanie, a nie stan maszyny, który ją wytworzył.

Test 2: wybierz polecenie podsumowania, a nie zrzut stanu

Dla strongSwan swanctl --list-sas pokazuje podsumowanie asocjacji: tożsamości, zainstalowane SA potomne, stany i liczniki. Nie wymaga surowego zrzutu kluczy i jest pierwszą rzeczą, którą warto wkleić do zgłoszenia. Po stronie jądra iproute2 obsługuje ip xfrm state list nokeys w wersjach, które dokumentują tę opcję, co tłumi materiał kluczy, zachowując pola asocjacji.

Potwierdź składnię w lokalnym podręczniku, zanim na niej polegniesz, ponieważ opcji nie ma w każdym wydaniu, a ogólna lista stanu bez niej to inne polecenie z innym wyjściem. Uruchamianie ip xfrm state na starym buildzie, by sprawdzić, czy flaga istnieje, to dokładnie ten błąd, którego dotyczy ta lista kontrolna.

Test 3: zapisuj tylko to, czego potrzebuje dochodzenie

Stan asocjacji, algorytmy, selektory, znaczniki czasu, kierunek i odpowiednie liczniki zwykle wystarczają. Tożsamości kont, publiczne adresy i topologia wewnętrzna często nie, a można je zredagować bez utraty wartości diagnostycznej.

Redaguj domyślnie i dodawaj z powrotem na żądanie. Osoba czytająca twoje zgłoszenie może poprosić o jeszcze jedno pole; ale nie może odzobaczyć wklejonego klucza.

Istnieje złoty środek, który warto znać: podsumowanie też może być wrażliwe. Tożsamości, adresy partnerów i nazwy SA potomnych opisują twoją topologię, a w niektórych organizacjach to samo w sobie jest informacją zastrzeżoną. Zdecyduj, kto jest odbiorcą, zanim wkleisz, i preferuj kanał z właściwą kontrolą dostępu zamiast publicznego zgłoszenia. Bezpieczne polecenie to nie to samo co bezpieczne miejsce docelowe.

Test 4: skoreluj jedną próbę na obu końcach

Przechwyć klienta i bramę dla tej samej próby połączenia, w tym samym czasie, i upewnij się, że opisywana asocjacja to ta, którą wytworzyła ta próba. Mieszanie nieaktualnego SA potomnego z wcześniejszej próby ze świeżym zrzutem tras daje raport wewnętrznie spójny i całkowicie mylący.

Zidentyfikuj asocjację po jej unikalnych identyfikatorach, a nie po tunelu, i odnotuj kierunek awarii. Jeśli objawem jest brak ruchu w jednym kierunku, powiedz w którym i dołącz nieszkodliwy cel testowy, aby czytelnik mógł rozumować o ścieżce zamiast zgadywać. Licznik, który w jednym kierunku jest zerem, a w drugim rośnie lokalizuje problem znacznie lepiej niż jakikolwiek zrzut kluczy. Trzymaj znaczniki czasu w jednej strefie czasowej i powiedz, w której.

Test 5: co zrobić, jeśli materiał został już ujawniony

Usunięcie załącznika nie dowodzi, że nikt go nie zachował, a publiczne wklejenie jest szybko kopiowane.

Potraktuj to jako incydent i użyj procesu wymiany operatora: obróć dotknięte klucze lub dane logowania, sprawdź, czy ujawnienie oznacza szerszy kompromis, i postępuj zgodnie z obowiązującą ścieżką powiadamiania. Sprzątanie techniczne to łatwa część; założenie, że nikt tego nie przeczytał, to część trudna.

Trwałą praktyką jest mały szablon, który wypełniasz przed wklejeniem: który koniec, który identyfikator asocjacji, który kierunek, który licznik i co już wykluczono. dokumentacja swanctl list-sas opisuje pola podsumowania, i tego właśnie naprawdę potrzebuje większość zgłoszeń. Wszystko inne jest dostępne na żądanie dla tego, kto tego potrzebuje. Raport diagnostyczny powinien zawierać dowody, a nie dostęp.