ستاسو VPN کیلي هر چا لپاره لوستل کېدای شي: څه باید سم شي

لومړی نښه عموماً خبرداری وي، نه خرابېدنه۔ یو کلاینټ له کیلي لوستلو ډډه کوي ځکه چې فایل د ډلې یا ټولو لپاره لوستل کېدای شي، یا امنیتي کتنه client.key په 644 حالت کې په هغه پروفایل ډایرکټري کې پیدا کوي چې صادر شوي بنډلونه هم لري۔ لا هېڅ خراب نه دی شوی، او همدغه دلیل دی چې خبرداری له پامه غورځول کېږي۔ کیلي کار کوي، ټنل پورته کېږي، او فایل په ماشین کې هر حساب لپاره لوستل کېدای شي۔

نښه د اجازې خبرداری دی، نه دریږنه

په یونیکس ته ورته سیستم کې شخصي کیلي باید یوازې هغه حساب لپاره لوستل کېدای شي چې خدمت چلوي۔ د سم مالک سره 600 حالت عادي ترتیب دی۔ 644 حالت مانا دا ده چې هر ځایي کاروونکی کیلي کاپي کولای شي، او په شریک شوي build هسټ کې دا ریښتینی اوریدونکی دی۔

هغه کلاینټونه چې دا کتنه کوي تاسو ته لطف کوي۔ هغه چې نه کتنه کوي د فایل د خوندیتوب ثبوت نه دی، او بریالی اړیکه د دې په اړه هېڅ نه وایي چې بل څوک هغه مواد لوستلای شي چې دا یې ممکن کړ۔ خبرداری په بشپړ موندنه کې وګڼئ۔ دا دقیق دی او د دې مخکې راغلی چې چا فایل کاپي کړی وي۔

حالت د خدمت هویت ته سم کړئ

یوازې د مالک لاسرسی هغه کیلي ته ښه دی چې هماغه مالک یې کاروي۔ هغه خدمت چې په قصداً شریکه ډله لري ممکن بل کنټرول شوی ترتیب ته اړتیا ولري، لکه د خدمت حساب ملکیت کیلي باندې ډلې لوستل۔ هر فایل په بې پروایۍ سره یو عددي حالت ته ایښودل ملاتړ شوي کلاینټونه ماتوي، او chmod -R 777 د هېڅ شي حل نه دی۔

له هر بدلون مخکې مالک او د خدمت حساب وګورئ۔ عامه CA سندونه او شخصي هویت کیلي ګانې د پټوالي مختلفې غوښتنې لري، حتی کله چې په یوه ډایرکټري کې وي، نو د ټولې فولډر باندې تکراري حالت دواړه د یو شی په توګه ګڼي۔

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

په نورو پلیټفارمونو کې د یونیکس حالتونو په اټکل ژباړلو پرځای مستند شوي کیلي ذخیره یا د لاسرسي کنټرول ماډل وکاروئ۔ د private سره پای ته رسېدونکی فایل نوم لیبل دی، نه د پلي کولو میکانیزم۔

هغه کاپيې پیدا کړئ چې حالت یې نه پوښي

ایډیټرونه، بیک اپ آرشیفونه، صادر شوي پروفایلونه او لنډمهاله بنډلونه هر یو کولای شي هماغه هویت وساتي۔ هغه کاپيې د هغوی د منځپانګې له مخې وژغورئ، ځکه چې اصلي فایل کلک کول د تېرې میاشتې tar آرشیف کې د هغې کاپي لپاره هېڅ نه کوي۔

د کیلي فایل باندې پاسفریز د ذخیره شوي موادو لپاره ګټور دی او د کوډ شوي فایل د هغې پاسورډ ترڅنګ خپرول توجیه نه کوي۔ اجازې اوسنی فایلسیسټم شی ساتي؛ د بل ځای کاپي شوي اسنادو په اړه هېڅ نه وایي۔

د کار د بشپړېدو له اعلان مخکې کاپيې ولټوئ: grep -rl په احتمالي ډایرکټریو کې د کیلي سرلیک کرښه، او د بیک اپ استثناوو ته یوه کتنه۔ پایله عموماً له هغه فایل څخه ډېره په زړه پورې ده چې پیل یې کړی و۔

له سمون وروسته، تایید او بدل کړئ

ازموئ چې ټاکل شوی خدمت لا هم تصدیق کوي، بیا ډاډ ترلاسه کړئ چې کوم غیر ضروري حساب لاسرسی نه دی ترلاسه کړی۔ تشخیصي محصول په میټاډیټا پورې محدود کړئ، ځکه چې د فایل لوستل کېدو ثبوت لپاره کیلي چاپول اړین نه دي او دا مواد په لاګ کې ږدي۔

که کیلي افشا شوې وي، حالت کلک کړئ، بیا اسناد بدل کړئ او زاړه لغوه کړئ۔ POSIX chmod مشخصات تشریح کوي چې هر حالت بټ څه مانا لري، کوم چې د راتلونکې کتنې لخوا ستاسو د ټاکل شوې شمېرې توجیه غوښتنې مخکې پوهېدل ارزښت لري۔