Kako pregledati stanje IPsec-a bez objavljivanja njegovih ključeva

Ispis stanja IPsec-a nije izvještaj o statusu, a tretiranje kao da jeste je način na koji ključni materijal završi u javnom trakeru problema. Neki izlazi pregleda kernela uključuju prometne ključeve koje kernel koristi, uz adrese, selektore i brojače koji su zaista korisni. Sigurna navika je prvo prikupiti sažetak i posegnuti za sirovim stanjem samo kada sažetak ne može odgovoriti na pitanje. Ako ipak morate pogledati sirovo stanje, gledajte lokalno i podijelite nešto uže.

Provjera 1: može li ovaj artefakt uopće napustiti mašinu

Konfiguracijska datoteka, privatni ključ, neograničeno hvatanje paketa i sirovi ispis stanja sve su tajne dok se ne dokaže suprotno. Naredba koja ispisuje ključeve ne postaje sigurna time što ste je pokrenuli radi dijagnostike.

Pravilo je dovoljno jednostavno da se izgovori u jednoj rečenici: podijelite zapažanje koje odgovara na pitanje, a ne stanje mašine koje ga je proizvelo.

Provjera 2: odaberite naredbu sažetka, a ne ispis stanja

Za strongSwan swanctl --list-sas prikazuje sažetak asocijacije: identitete, instalirane child SA, stanja i brojače. Ne zahtijeva sirovi ispis ključeva i prva je stvar koju treba zalijepiti u tiket. Na strani kernela iproute2 podržava ip xfrm state list nokeys u verzijama koje dokumentuju tu opciju, što skriva ključni materijal uz zadržavanje polja asocijacije.

Potvrdite sintaksu u lokalnom priručniku prije nego se oslonite na nju, jer opcija nije prisutna u svakom izdanju, a opći popis stanja bez nje je druga naredba s drugačijim izlazom. Pokretanje ip xfrm state na staroj gradnji da vidite postoji li zastavica upravo je greška o kojoj je ovaj kontrolni spisak.

Provjera 3: zabilježite samo ono što istraga zahtijeva

Status asocijacije, algoritmi, selektori, vremenske oznake, smjer i relevantni brojači obično su dovoljni. Identiteti računa, javne adrese i unutrašnja topologija često nisu, i mogu se redigirati bez gubljenja dijagnostičke vrijednosti.

Redigirajte po defaultu i dodajte nazad na zahtjev. Osoba koja čita vaš tiket može zatražiti još jedno polje; ali ne može poništiti već viđeni ključ.

Postoji srednji put koji vrijedi znati: sažetak i sam može biti osjetljiv. Identiteti, adrese partnera i imena child SA opisuju vašu topologiju, a u nekim organizacijama to je samo po sebi ograničena informacija. Odlučite ko je publika prije nego zalijepite i dajte prednost kanalu s odgovarajućom kontrolom pristupa umjesto javnog problema. Sigurna naredba nije isto što i sigurno odredište.

Provjera 4: povežite jedan pokušaj na oba kraja

Snimite klijenta i pristupnik istog pokušaja veze, u isto vrijeme, i pobrinite se da asocijacija koju opisujete jeste ona koju je taj pokušaj proizveo. Miješanje zastarjele child SA iz ranijeg pokušaja sa svježim snimkom ruta daje izvještaj koji je interno dosljedan i potpuno obmanjujući.

Identificirajte asocijaciju po njenim jedinstvenim identifikatorima, a ne po tunelu, i zabilježite smjer kvara. Ako je simptom nema prometa u jednom smjeru, recite u kojem i uključite bezopasno testno odredište, kako bi čitatelj mogao razmišljati o putu umjesto da nagađa. Brojač koji je nula u jednom smjeru i raste u drugom lokalizira problem mnogo bolje od bilo kojeg ispisa ključeva. Držite vremenske oznake u jednoj vremenskoj zoni i recite kojoj.

Provjera 5: što učiniti ako je materijal već bio izložen

Brisanje privitka ne dokazuje da ga niko nije zadržao, a javno lijepljenje se brzo kopira.

Tretirajte to kao incident i koristite operaterov proces zamjene: rotirajte pogođene ključeve ili akreditive, provjerite znači li izlaganje širi kompromis i slijedite put obavještavanja koji se primjenjuje. Tehničko čišćenje je lakši dio; pretpostavka da niko nije čitao je teži dio.

Trajna praksa je mali predložak koji popunite prije lijepljenja: koji kraj, koji identifikator asocijacije, koji smjer, koji brojač i što je već isključeno. dokumentacija swanctl list-sas opisuje polja sažetka i to je ono što većini tiketa zapravo treba. Sve ostalo je dostupno na zahtjev onome kome treba. Dijagnostički izvještaj treba sadržavati dokaze, a ne pristup.