Kako pregledati stanje IPsec brez objave njegovih ključev

Izpis stanja IPsec ni poročilo o stanju, in prav takšno obravnavanje je pot, po kateri ključno gradivo konča v javnem sledilniku težav. Nekateri izpisi pregleda jedra vsebujejo prometne ključe, ki jih uporablja jedro, skupaj z naslovi, selektorji in števci, ki so resnično koristni. Varna navada je najprej zbrati povzetek in po surovo stanje seči šele, ko povzetek ne more odgovoriti na vprašanje. Če pa morate pogledati surovo stanje, ga poglejte lokalno in delite nekaj ožjega.

Preverjanje 1: lahko ta artefakt sploh zapusti stroj

Konfiguracijska datoteka, zasebni ključ, neomejen zajem paketov in surov izpis stanja so vse skrivnosti, dokler ni dokazano nasprotno. Ukaz, ki izpisuje ključe, ne postane varen zato, ker ste ga zagnali za diagnostiko.

Pravilo je dovolj preprosto, da ga povemo v enem stavku: delite opažanje, ki odgovarja na vprašanje, ne stanja stroja, ki ga je ustvarilo.

Preverjanje 2: izberite ukaz povzetka, ne izpisa stanja

Za strongSwan swanctl --list-sas prikaže povzetek asociacije: identitete, nameščene podrejene SA, stanja in števce. Ne zahteva surovega izpisa ključev in je prva stvar, ki jo velja prilepiti v zahtevek. Na strani jedra iproute2 podpira ip xfrm state list nokeys v različicah, ki to možnost dokumentirajo, kar zaduši ključno gradivo in ohrani polja asociacije.

Potrdite sintakso v lokalnem priročniku, preden se nanjo zanesete, ker možnosti ni v vsaki izdaji, splošni seznam stanja brez nje pa je drug ukaz z drugim izpisom. Zaganjanje ip xfrm state na stari zgradbi, da bi videli, ali zastavica obstaja, je natanko tista napaka, s katero se ukvarja ta kontrolni seznam.

Preverjanje 3: zapišite le tisto, kar preiskava potrebuje

Stanje asociacije, algoritmi, selektorji, časovni žigi, smer in ustrezni števci običajno zadostujejo. Identitete računov, javni naslovi in notranja topologija pogosto ne, in jih je mogoče redigirati brez izgube diagnostične vrednosti.

Redigirajte privzeto in po potrebi dodajte nazaj. Kdor bere vaš zahtevek, lahko prosi za še eno polje; prilepljenega ključa pa ne more narediti nevidenega.

Obstaja srednja pot, ki jo velja poznati: tudi povzetek je lahko občutljiv. Identitete, naslovi partnerjev in imena podrejenih SA opisujejo vašo topologijo, v nekaterih organizacijah pa je to samo po sebi omejena informacija. Odločite se, kdo je občinstvo, preden prilepite, in raje izberite kanal z ustreznim nadzorom dostopa kot javno težavo. Varen ukaz ni isto kot varen cilj.

Preverjanje 4: povežite en poskus na obeh koncih

Zajemite odjemalca in prehod za isti poskus povezave ob istem času in poskrbite, da je asociacija, ki jo opisujete, tista, ki jo je ustvaril ta poskus. Mešanje zastarele podrejene SA iz prejšnjega poskusa s svežo sliko poti daje poročilo, ki je notranje skladno in popolnoma zavajajoče.

Asociacijo prepoznajte po njenih edinstvenih identifikatorjih, ne po tunelu, in zabeležite smer okvare. Če je simptom nič prometa v eno smer, povejte katero smer in dodajte neškodljiv testni cilj, da bo bralec lahko razmišljal o poti, namesto da ugiba. Števec, ki je v eni smeri nič, v drugi pa narašča lokalizira težavo veliko bolje kot kateri koli izpis ključev. Časovne žige imejte v enem časovnem pasu in povejte, v katerem.

Preverjanje 5: kaj storiti, če je bilo gradivo že razkrito

Brisanje priloge ne dokaže, da je nihče ni obdržal, in javno lepljenje se hitro kopira.

Obravnavajte to kot incident in uporabite postopek zamenjave operaterja: zamenjajte prizadete ključe ali poverilnice, preverite, ali razkritje pomeni širši kompromis, in sledite veljavni poti obveščanja. Tehnično čiščenje je lažji del; predpostavka, da tega ni nihče prebral, je težji.

Trajna praksa je majhna predloga, ki jo izpolnite pred lepljenjem: kateri konec, kateri identifikator asociacije, katera smer, kateri števec in kaj je že izključeno. dokumentacija swanctl list-sas opisuje polja povzetka, in to je tisto, kar večina zahtevkov resnično potrebuje. Vse ostalo je na voljo na zahtevo tistemu, ki to potrebuje. Diagnostično poročilo naj bi vsebovalo dokaze, ne dostopa.