Como inspecionar o estado do IPsec sem publicar as suas chaves

Um dump do estado do IPsec não é um relatório de estado, e tratá-lo como tal é a forma como o material das chaves acaba num rastreador de problemas público. Algumas saídas da inspeção do kernel incluem as chaves de tráfego que o kernel utiliza, juntamente com endereços, seletores e contadores que são realmente úteis. O hábito seguro é recolher primeiro o resumo e recorrer ao estado cru só quando o resumo não consegue responder à pergunta. Se tiver de olhar para o estado cru, olhe localmente e partilhe algo mais estreito.

Verificação 1: este artefacto pode sequer sair da máquina

Um ficheiro de configuração, uma chave privada, uma captura de pacotes sem restrições e um dump de estado cru são todos segredos até prova em contrário. Um comando que imprime chaves não se torna seguro por o ter executado para diagnóstico.

A regra é suficientemente simples para a dizer numa frase: partilhe a observação que responde à pergunta, não o estado da máquina que a produziu.

Verificação 2: escolha o comando de resumo, não o dump de estado

Para o strongSwan, swanctl --list-sas mostra o resumo da associação: identidades, SA filhas instaladas, estados e contadores. Não exige o dump cru das chaves e é a primeira coisa a colar num ticket. Do lado do kernel, o iproute2 suporta ip xfrm state list nokeys nas versões que documentam a opção, o que suprime o material das chaves mantendo os campos da associação.

Confirme a sintaxe no manual local antes de confiar nela, porque a opção não está presente em todas as versões e uma listagem genérica de estado sem ela é outro comando com outra saída. Executar ip xfrm state numa compilação antiga para ver se a opção existe é exatamente o erro de que trata esta lista.

Verificação 3: registe apenas o que a investigação precisa

O estado da associação, os algoritmos, os seletores, as marcas temporais, a direção e os contadores relevantes costumam bastar. As identidades de conta, os endereços públicos e a topologia interna muitas vezes não, e podem ser redigidos sem perder valor de diagnóstico.

Redija por omissão e volte a acrescentar se lhe pedirem. Quem lê o seu ticket pode pedir mais um campo; mas não pode deixar de ter visto uma chave colada.

Há um meio-termo que vale a pena conhecer: um resumo também pode ser sensível. As identidades, os endereços dos pares e os nomes das SA filhas descrevem a sua topologia, e em algumas organizações isso já é informação restrita. Decida quem é o público antes de colar e prefira um canal com o controlo de acesso adequado a um problema público. Um comando seguro não é o mesmo que um destino seguro.

Verificação 4: correlacione uma tentativa nas duas pontas

Capture o cliente e a gateway para a mesma tentativa de ligação, ao mesmo tempo, e certifique-se de que a associação que descreve é a que essa tentativa produziu. Misturar uma SA filha antiga de uma tentativa anterior com um instantâneo fresco de rotas produz um relatório internamente coerente e completamente enganador.

Identifique a associação pelos seus identificadores únicos e não pelo túnel, e anote a direção da falha. Se o sintoma for a ausência de tráfego numa direção, diga qual e inclua um destino de teste inofensivo, para que o leitor possa raciocinar sobre o caminho em vez de adivinhar. Um contador que é zero numa direção e sobe na outra localiza o problema muito melhor do que qualquer dump de chaves. Mantenha as marcas temporais num único fuso horário e diga qual.

Verificação 5: o que fazer se o material já foi exposto

Apagar o anexo não prova que ninguém o guardou, e uma colagem pública é copiada depressa.

Trate isso como um incidente e use o processo de substituição do operador: rode as chaves ou credenciais afetadas, verifique se a exposição implica um compromisso mais amplo e siga o caminho de notificação aplicável. A limpeza técnica é a parte fácil; a suposição de que ninguém leu é a parte difícil.

A prática duradoura é um pequeno modelo que preenche antes de colar: que extremidade, que identificador de associação, que direção, que contador e o que já foi descartado. A documentação do swanctl list-sas descreve os campos do resumo, e é disso que a maioria dos tickets precisa realmente. Todo o resto está disponível a pedido para quem precisar. Um relatório de diagnóstico deve conter provas, não acesso.