Váš VPN kľúč je čitateľný pre všetkých: čo opraviť

Prvým signálom je zvyčajne varovanie, nie výpadok. Klient odmietne načítať kľúč, pretože súbor je čitateľný pre skupinu alebo pre všetkých, alebo bezpečnostná kontrola nájde client.key s režimom 644 v adresári profilu, kde sú aj exportované balíčky. Nič zatiaľ nezlyhalo, a práve preto sa varovanie prehliada. Kľúč funguje, tunel sa nadviaže a súbor je čitateľný pre každý účet na stroji.

Príznakom je varovanie o oprávneniach, nie výpadok

V systéme typu Unix má byť privátny kľúč čitateľný len pre účet, ktorý službu spúšťa. Režim 600 so správnym vlastníkom je bežné usporiadanie. Režim 644 znamená, že kľúč môže skopírovať každý miestny používateľ, a na zdieľanom build hoste je to skutočné publikum.

Klienti, ktorí to kontrolujú, vám robia láskavosť. Tí, ktorí to nekontrolujú, nie sú dôkazom, že súbor je bezpečný, a úspešné pripojenie nič nehovorí o tom, kto ďalší môže čítať materiál, ktorý ho umožnil. Berte varovanie ako celý nález. Je presné a prišlo skôr, než niekto súbor skopíroval.

Zosúlaďte režim s identitou služby

Prístup len pre vlastníka sa hodí ku kľúču, ktorý používa tento vlastník. Služba s úmyselne zdieľanou skupinou môže potrebovať iné riadené usporiadanie, napríklad čítanie skupinou pri kľúči vlastnenom servisným účtom. Slepé nastavenie jedného číselného režimu na všetky súbory rozbíja podporovaných klientov a chmod -R 777 nie je riešením ničoho.

Pred akoukoľvek zmenou skontrolujte vlastníka a servisný účet. Verejné CA certifikáty a privátne kľúče identity majú rôzne požiadavky na utajenie, aj keď ležia v tom istom adresári, takže rekurzívny režim na celý priečinok s nimi zaobchádza ako s tým istým objektom.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Na iných platformách použite dokumentované úložisko kľúčov alebo model riadenia prístupu, namiesto prekladania unixových režimov na odhad. Názov súboru končiaci na private je označenie, nie vynucovací mechanizmus.

Nájdite kópie, ktoré režim nepokrýva

Editor, záložné archívy, exportované profily a dočasné balíčky môžu každý zachovať rovnakú identitu. Chráňte tie kópie podľa ich obsahu, pretože utiahnutie pôvodného súboru nič neurobí pre ten v minulomesačnom tar archíve.

Prístupová fráza na súbore s kľúčom je užitočná pre uložený materiál a neospravedlňuje zverejnenie zašifrovaného súboru vedľa jeho hesla. Oprávnenia chránia aktuálny objekt súborového systému; nič nehovoria o prihlasovacích údajoch už skopírovaných inde.

Pred vyhlásením práce za hotovú hľadajte kópie: grep -rl riadok hlavičky kľúča v pravdepodobných adresároch a pohľad na vylúčenia záloh. Výsledok je zvyčajne zaujímavejší ako súbor, s ktorým ste začali.

Po oprave overte a vymeňte

Otestujte, či sa zamýšľaná služba stále autentifikuje, a potom potvrďte, že žiadny nepotrebný účet nezískal prístup. Obmedzte diagnostický výstup na metadáta, pretože vytlačenie kľúča nie je na preukázanie čitateľnosti súboru potrebné a materiál sa dostane do logu.

Ak bol kľúč vystavený, utiahnite režim, potom vymeňte prihlasovacie údaje a zrušte staré. Špecifikácia POSIX chmod vysvetľuje, čo znamená každý bit režimu, čo sa hodí vedieť predtým, než ďalšia kontrola bude chcieť obhájiť zvolené číslo.