Pravica iskanja v vsaki mapi pred ključem

Način 0600 in pravi lastnik ne zagotavljata, da lahko storitev odpre ključ. Manjkajoča pravica je običajno v mapi nad njim. Linux razreši pot eno komponento naenkrat, in vsak korak potrebuje pravico iskanja, preden se poskusi naslednji. Preberite celotno pot, ne zadnje vrstice seznama.

Pravica branja je zadnji korak, ne edini

Odpiranje datoteke zahteva, da jedro prehodi od korena ali delovne mape skozi vsako komponento poti. Mapa brez pravice iskanja ustavi ta prehod z napako pravice. Način same datoteke ni nikoli pregledan, zato je popolnoma berljiv ključ videti neberljiv. Napaka pogosto pride ob odpiranju brez imenovanja mape, zato je obtožena zadnja datoteka.

Pri mapi izvršilni bit pomeni iskanje, ne izvajanja vsebine. Ključ ostane podatek, in noben del tega popravka ne zahteva, da ga označite kot izvršljivega.

Prehodite pot kot servisni račun

Naštejte vsako komponento z njenim lastnikom in načinom, nato branje ponovite kot resnična identiteta storitve. Razlika med vašo lupino in demonom je pogosto celoten odgovor. Sledite simbolnim povezavam do resničnega cilja, ker se preverja razrešena pot.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Storitev lahko datoteke odpre tudi v več kot eni fazi. Del gradiva se prebere med privilegiranim nastavljanjem, medtem ko se druge datoteke odprejo po odvzemu pravic. Korenska lupina, ki bere datoteko, ne poustvari dostopa poznejšega delavca. Imenski prostor priklopa lahko pokaže drugačen pogled na isto pot, zlasti v vsebniku, zato primerjajte pogled datotečnega sistema demona s svojim.

Spremenite najožjo pravico, ki ustreza

Izberite najmanjšo ureditev, ki procesu omogoči dostop: nadzorovana skupina s pravico iskanja v potrebnih mapah, upravljana lokacija, ki jo storitev že ima, ali drug dokumentiran mehanizem. Branje datoteke ne zahteva pravice pisanja v njeni mapi. Široka pravica pisanja skupine na privilegirano konfiguracijo ni običajno popravilo prehoda. Rekurzivni 0777 tudi ni rešitev.

Zapišite, katero komponento ste spremenili in zakaj. Spremembo pravice brez zapisanega razloga je težko pregledati in lahko pozabiti.

Čez načine poglejte šele po prehodu

Če so biti načina videti zadostni, so preostale preveritve ACL, varnostna politika in omejitve sandboxa. ACL lahko dodeli dostop, ki ga biti načina kažejo kot odsotnega, ali zavrne dostop, ki se zdi, da ga dovoljujejo. Te nastavitve pripadajo obstoječemu lastniku konfiguracije in jih je treba prilagoditi ozko, ne pa izklopiti. Razlika v korenu ali delovni mapi lahko tudi pojasni absolutno pot, ki deluje v enem kontekstu in ne uspe v drugem.

Med popravljanjem dostopa ne izgubite izpred oči, kaj datoteka je. Potrdilo CA je javno po zasnovi, zasebni ključ pa ne. Datoteke, ki jih odjemalec prepiše, potrebujejo tudi drugačne pravice pisanja kot identitetni ključ, ki je samo za branje. Preglejte metapodatke brez tiskanja skrivnosti, nato potrdite, da storitev sama deluje po spremembi. Kratka opomba v dokumentaciji storitve prihrani naslednji osebi enak prehod.