Požarni zid med vrati ni meja gostitelja

Spletno mesto odgovarja na 443, VPN odgovarja na 1194, požarni zid spusti točno ta dva, in pregled uspe. Nič v tem zaporedju ni vprašalo, kaj lahko spletni delavec bere ali katere datoteke lahko prepiše. Kompromitiran delavec ne potrebuje odprtih vrat, če lahko doseže krmilno vtičnico ali pisalno mapo konfiguracije. Meja je pooblastilo, poslušalci pa so le del, ki ga je lahko videti.

Ločeno ime storitve je oznaka; ločena identiteta je varnostna lastnost.

Štejte pooblastila delavca, ne vrat

Začnite z uporabnikom izvajanja, njegovimi skupinami, njegovimi zmožnostmi in njegovim pogledom na datotečni sistem. Servisni račun, ki slučajno pripada skupini VPN, lahko bere ključno gradivo brez enih odprtih vrat. Pisalne priklopne točke so druga polovica: nalaganja in predpomnilniki morajo stati daleč od datotek pravilnika in skrivnosti, nepotrebno deljena pisalna mapa pa uniči urejeno poimenovanje. Preverite proces, ki bi opravil operacijo, ker privilegirani starš in neprivilegirani delavci ne delijo enega pooblastila.

To, da je ključ VPN berljiv ob zagonu demona, ne pomeni, da ga spletni delavec potrebuje. Ločite branje, ki ga opravi demon, od dostopa, ki ga dobi aplikacija.

Vtičnice, ki dajo več, kot se zdi

Nekatere končne točke so administrativni API v preobleki toka meritev. Vmesnik za upravljanje VPN lahko spreminja seje, odklopi odjemalce in bere stanje. Vtičnica izvajalnega okolja vsebnikov je še širša: dostop do nje je dejansko nadzor gostitelja, veliko več, kot potrebuje spletna aplikacija. Nobena od obeh ne sodi v nabor priklopnih točk običajne aplikacije in nobena se ne pojavi ob štetju poslušajočih vrat.

Vezava upravljalnega poslušalca na krajevni naslov je začetek, ne popolna omejitev, ker je vsaka pot vstopa na ta naslov še vedno pomembna. Dovolite samo predvidene vire in vmesnike.

Vsebniki si delijo eno jedro

Vsebniki dodajo meje procesa, datotečnega sistema in omrežja ter si delijo eno jedro z gostiteljem. To naredi odločilne izbire zmožnosti, priklope gostitelja in dostop do demona: priklop skrivnosti gostitelja ali podelitev privilegiranega nadzora izvajanja izbriše mejo, ki jo nakazuje oznaka vsebnika. Ločene VM res dajo ločena gostujoča jedra, medtem ko hipervizor, administrativne identitete, shramba in varnostne kopije ostanejo deljene. Izberite mejo, katere konfiguracija in posodobitve imata imenovanega lastnika.

Bolj zapletena ureditev, ki je nihče ne vzdržuje, je slabša od preproste, ki je resnično pregledana.

Preizkusite zavrnitev, nato storitev

Uporabite odobrene preizkuse v resničnem kontekstu delavca, da potrdite, da ne more spreminjati pravilnika VPN, brati nepotrebnih skrivnosti ali se dotakniti vmesnika za upravljanje. Uspešno branje kot skrbnik ne preizkusi ničesar o tej zavrnitvi. Nato preverite spletno mesto, običajno dovoljeno operacijo VPN in kaj se z vsako zgodi ob ponovnem zagonu. Ohranite pot obnovitve, ki ni odvisna od popravila VPN, da napaka ostane popravljiva.

Obe vlogi si še vedno delita CPU, pomnilnik, zmogljivost vzponske povezave in dogodke vzdrževanja. Ti deljeni viri sodijo v načrt, tudi ko je meja pooblastil čista.

Zabeležite, kaj lahko počne vsak proces, kaj odpove, če se ustavi, in katera meja ostane deljena. Štetje vrat ni ta zapis.