Cum se inspectează starea IPsec fără a publica cheile

Un dump al stării IPsec nu este un raport de stare, iar tratarea lui ca atare este calea prin care materialul cheilor ajunge într-un tracker public de probleme. Unele ieșiri ale inspecției nucleului includ cheile de trafic folosite de nucleu, împreună cu adrese, selectori și contoare care sunt cu adevărat utile. Obiceiul sigur este să colectezi mai întâi rezumatul și să apelezi la starea brută doar când rezumatul nu poate răspunde la întrebare. Dacă totuși trebuie să te uiți la starea brută, uită-te local și împărtășește ceva mai îngust.

Verificarea 1: poate acest artefact să părăsească măcar mașina

Un fișier de configurare, o cheie privată, o captură de pachete fără restricții și un dump brut de stare sunt toate secrete până la proba contrarie. O comandă care tipărește chei nu devine sigură prin faptul că ai rulat-o pentru diagnosticare.

Regula este destul de simplă pentru a o spune într-o singură propoziție: împărtășește observația care răspunde la întrebare, nu starea mașinii care a produs-o.

Verificarea 2: alege comanda de rezumat, nu dumpul de stare

Pentru strongSwan, swanctl --list-sas afișează rezumatul asocierii: identități, SA copil instalate, stări și contoare. Nu necesită dumpul brut de chei și este primul lucru pe care merită să îl lipești într-un tichet. Pe partea de nucleu, iproute2 acceptă ip xfrm state list nokeys în versiunile care documentează opțiunea, ceea ce suprimă materialul cheilor păstrând câmpurile asocierii.

Confirmă sintaxa în manualul local înainte de a te baza pe ea, pentru că opțiunea nu există în fiecare versiune, iar o listare generică de stare fără ea este altă comandă, cu altă ieșire. Rularea ip xfrm state pe o compilare veche pentru a vedea dacă opțiunea există este exact greșeala despre care este această listă.

Verificarea 3: notează doar ce are nevoie investigația

Starea asocierii, algoritmii, selectorii, marcajele de timp, direcția și contoarele relevante sunt de obicei suficiente. Identitățile conturilor, adresele publice și topologia internă adesea nu sunt, și pot fi redactate fără a pierde valoarea diagnostică.

Redactează implicit și adaugă la loc la cerere. Cine îți citește tichetul poate cere încă un câmp; dar nu poate face o cheie lipită să nu fi fost văzută.

Există o cale de mijloc care merită cunoscută: și un rezumat poate fi sensibil. Identitățile, adresele partenerilor și numele SA copil descriu topologia ta, iar în unele organizații aceasta este în sine informație restricționată. Decide cine este publicul înainte de a lipi și preferă un canal cu controlul de acces potrivit în locul unei probleme publice. O comandă sigură nu este același lucru cu o destinație sigură.

Verificarea 4: corelează o încercare la ambele capete

Capturează clientul și gateway-ul pentru aceeași încercare de conectare, în același moment, și asigură-te că asocierea pe care o descrii este cea produsă de acea încercare. Amestecarea unei SA copil învechite dintr-o încercare anterioară cu o imagine proaspătă a rutelor produce un raport coerent intern și complet înșelător.

Identifică asocierea după identificatorii ei unici, nu după tunel, și notează direcția eșecului. Dacă simptomul este lipsa traficului într-o direcție, spune care și include o destinație de test inofensivă, ca cititorul să poată raționa despre cale în loc să ghicească. Un contor care este zero într-o direcție și crește în cealaltă localizează problema mult mai bine decât orice dump de chei. Ține marcajele de timp într-un singur fus orar și spune care.

Verificarea 5: ce să faci dacă materialul a fost deja expus

Ștergerea atașamentului nu dovedește că nimeni nu l-a păstrat, iar o lipire publică este copiată repede.

Tratează asta ca pe un incident și folosește procesul de înlocuire al operatorului: rotește cheile sau acreditările afectate, verifică dacă expunerea implică un compromis mai larg și urmează calea de notificare aplicabilă. Curățarea tehnică este partea ușoară; presupunerea că nimeni nu a citit-o este partea grea.

Practica durabilă este un mic șablon pe care îl completezi înainte de a lipi: care capăt, care identificator de asociere, care direcție, care contor și ce a fost deja exclus. documentația swanctl list-sas descrie câmpurile rezumatului, și de asta are nevoie de fapt majoritatea tichetelor. Tot restul este disponibil la cerere pentru cine are nevoie. Un raport de diagnostic ar trebui să conțină dovezi, nu acces.