Vaš VPN ključ svima je čitljiv: šta popraviti

Prvi znak obično je upozorenje, a ne kvar. Klijent odbija učitati ključ jer je datoteka čitljiva grupi ili svima, ili sigurnosni pregled nađe client.key s načinom 644 u direktoriju profila u kojem su i izvezene zbirke. Ništa još nije pokvareno, i upravo se zato upozorenje odbacuje. Ključ radi, tunel se podiže, a datoteku može čitati svaki račun na stroju.

Simptom je upozorenje o dozvolama, a ne ispad

Na Unixolikom sustavu privatni ključ treba biti čitljiv samo računu koji pokreće servis. Način 600 s ispravnim vlasnikom uobičajen je raspored. Način 644 znači da svaki lokalni korisnik može kopirati ključ, a na zajedničkom build hostu to je stvarna publika.

Klijenti koji to provjeravaju čine vam uslugu. Oni koji ne provjeravaju nisu dokaz da je datoteka sigurna, a uspješna veza ne govori ništa o tome tko još može čitati materijal koji ju je omogućio. Tretirajte upozorenje kao cijeli nalaz. Ono je točno i stiglo je prije nego što je itko kopirao datoteku.

Uskladite način rada s identitetom servisa

Pristup samo vlasniku odgovara ključu koji taj vlasnik koristi. Servis s namjerno dijeljenom grupom može trebati drukčiji kontrolirani raspored, poput čitanja grupe na ključu koji posjeduje servisni račun. Slijepo postavljanje jednog brojčanog načina na sve datoteke kvari podržane klijente, a chmod -R 777 nije rješenje ni za što.

Provjerite vlasnika i servisni račun prije nego što bilo što promijenite. Javni CA certifikati i privatni ključevi identiteta imaju različite zahtjeve tajnosti čak i kad su u istom direktoriju, pa rekurzivni način primijenjen na cijelu mapu tretira oboje kao isti objekt.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Na drugim platformama upotrijebite dokumentirano spremište ključeva ili model kontrole pristupa umjesto prevođenja Unix načina u nagađanje. Ime datoteke koje završava na private je oznaka, a ne mehanizam provedbe.

Pronađite kopije koje način ne pokriva

Urednici, arhive sigurnosnih kopija, izvezni profili i privremene zbirke mogu svaki zadržati isti identitet. Zaštitite te kopije prema njihovu sadržaju, jer zatezanje izvorne datoteke ne čini ništa za onu u prošlomjesečnoj tar arhivi.

Lozinka na datoteci ključa korisna je za pohranjeni materijal i ne opravdava objavljivanje šifrirane datoteke uz njezinu lozinku. Dozvole štite trenutni objekt datotečnog sustava; ne govore ništa o vjerodajnici koja je već kopirana drugdje.

Potražite kopije prije nego što posao proglasite završenim: grep -rl redak zaglavlja ključa u vjerojatnim direktorijima i pogled na iznimke sigurnosnih kopija. Rezultat je obično zanimljiviji od datoteke s kojom ste počeli.

Nakon popravka provjerite i zamijenite

Provjerite da se željeni servis još uvijek autentificira, zatim potvrdite da nijedan nepotreban račun nije dobio pristup. Ograničite dijagnostički izlaz na metapodatke, jer ispisivanje ključa nije potrebno da bi se dokazalo da je datoteka čitljiva a materijal stavlja u zapisnik.

Ako je ključ bio izložen, zategnite način, zatim zamijenite vjerodajnicu i opozovite staru. Specifikacija POSIX chmod objašnjava što znači svaki bit načina, što je vrijedno znati prije nego što sljedeći pregled zatraži da opravdate odabrani broj.