Ako skontrolovať stav IPsec bez zverejnenia jeho kľúčov

Výpis stavu IPsec nie je správa o stave, a práve takéto zaobchádzanie s ním vedie k tomu, že sa kľúčový materiál ocitne vo verejnom sledovači problémov. Niektoré výstupy kontroly jadra obsahujú prevádzkové kľúče, ktoré jadro používa, spolu s adresami, selektormi a počítadlami, ktoré sú naozaj užitočné. Bezpečný zvyk je najprv zozbierať súhrn a k surovému stavu siahnuť len vtedy, keď súhrn nedokáže odpovedať na otázku. Ak sa na surový stav predsa len musíte pozrieť, pozerajte sa lokálne a zdieľajte niečo užšie.

Kontrola 1: môže tento artefakt vôbec opustiť stroj

Konfiguračný súbor, súkromný kľúč, neobmedzené zachytávanie paketov a surový výpis stavu sú všetko tajomstvá, kým sa nepreukáže opak. Príkaz, ktorý vypisuje kľúče, sa nestane bezpečným tým, že ste ho spustili kvôli diagnostike.

Pravidlo je dosť jednoduché na to, aby sa dalo povedať jednou vetou: zdieľajte pozorovanie, ktoré odpovedá na otázku, nie stav stroja, ktorý ho vytvoril.

Kontrola 2: vyberte príkaz súhrnu, nie výpis stavu

Pre strongSwan swanctl --list-sas zobrazuje súhrn asociácie: identity, nainštalované podradené SA, stavy a počítadlá. Nevyžaduje surový výpis kľúčov a je to prvá vec, ktorú treba vložiť do tiketu. Na strane jadra iproute2 podporuje ip xfrm state list nokeys vo verziách, ktoré túto voľbu dokumentujú, čo potlačí kľúčový materiál a pritom zachová polia asociácie.

Overte syntax v miestnom manuáli, kým sa na ňu spolahnete, pretože voľba nie je v každom vydaní a všeobecný výpis stavu bez nej je iný príkaz s iným výstupom. Spúšťať ip xfrm state na starom zostavení, aby ste zistili, či prepínač existuje, je presne tá chyba, o ktorej je tento kontrolný zoznam.

Kontrola 3: zaznamenajte len to, čo vyšetrovanie potrebuje

Stav asociácie, algoritmy, selektory, časové pečiatky, smer a príslušné počítadlá zvyčajne stačia. Identity účtov, verejné adresy a vnútorná topológia často nie, a možno ich redigovať bez straty diagnostickej hodnoty.

Redigujte predvolene a na požiadanie pridajte späť. Ten, kto číta váš tiket, môže požiadať o ďalšie pole; ale už vložený kľúč nemôže vziať späť.

Existuje stredná cesta, ktorú stojí za to poznať: aj súhrn môže byť citlivý. Identity, adresy partnerov a názvy podradených SA opisujú vašu topológiu a v niektorých organizáciách je to samo o sebe obmedzená informácia. Rozhodnite, kto je publikum, skôr než niečo vložíte, a dajte prednosť kanálu so správnym riadením prístupu pred verejným problémom. Bezpečný príkaz nie je to isté ako bezpečné miesto určenia.

Kontrola 4: prepojte jeden pokus na oboch koncoch

Zachyťte klienta aj bránu pre ten istý pokus o spojenie v tom istom okamihu a uistite sa, že asociácia, ktorú opisujete, je tá, ktorú tento pokus vytvoril. Zmiešanie zastaranej podradenej SA z predchádzajúceho pokusu s čerstvým snímkom trás vytvára správu, ktorá je vnútorne konzistentná a úplne zavádzajúca.

Identifikujte asociáciu podľa jej jedinečných identifikátorov, nie podľa tunela, a poznamenajte smer zlyhania. Ak je symptómom žiadna prevádzka v jednom smere, povedzte ktorým a uveďte neškodné testovacie cieľové miesto, aby čitateľ mohol uvažovať o ceste namiesto hádania. Počítadlo, ktoré je v jednom smere nula a v druhom rastie lokalizuje problém oveľa lepšie ako akýkoľvek výpis kľúčov. Držte časové pečiatky v jednom časovom pásme a povedzte, v ktorom.

Kontrola 5: čo robiť, ak bol materiál už vystavený

Zmazanie prílohy nepreukáže, že si ju nikto neuložil, a verejné vloženie sa rýchlo kopíruje.

Berte to ako incident a použite proces výmeny prevádzkovateľa: otočte dotknuté kľúče alebo prihlasovacie údaje, skontrolujte, či expozícia neznamená širšiu kompromitáciu, a postupujte podľa platnej cesty oznámenia. Technické čistenie je tá ľahká časť; predpoklad, že to nikto nečítal, je tá ťažká.

Trvalou praxou je malá šablóna, ktorú pred vložením vyplníte: ktorý koniec, ktorý identifikátor asociácie, ktorý smer, ktoré počítadlo a čo už bolo vylúčené. dokumentácia swanctl list-sas opisuje polia súhrnu a to je to, čo väčšina tiketov skutočne potrebuje. Všetko ostatné je k dispozícii na požiadanie tomu, kto to potrebuje. Diagnostická správa by mala obsahovať dôkazy, nie prístup.