Vaš ključ VPN je berljiv vsem: kaj popraviti

Prvi znak je običajno opozorilo, ne okvara. Odjemalec noče naložiti ključa, ker je datoteka berljiva skupini ali vsem, ali varnostni pregled najde client.key v načinu 644 v mapi profila, kjer so tudi izvoženi paketi. Nič še ni odpovedalo, in prav zato je opozorilo prezrto. Ključ deluje, tunel se dvigne, datoteka pa je berljiva vsakemu računu na stroju.

Simptom je opozorilo o dovoljenjih, ne izpad

V sistemu, podobnem Unixu, naj bi bil zasebni ključ berljiv le računu, ki izvaja storitev. Način 600 s pravilnim lastnikom je običajna ureditev. Način 644 pomeni, da lahko ključ kopira vsak lokalni uporabnik, na skupnem build gostitelju pa je to resnično občinstvo.

Odjemalci, ki to preverjajo, vam delajo uslugo. Tisti, ki ne, niso dokaz, da je datoteka varna, in uspešna povezava ne pove nič o tem, kdo drug lahko bere gradivo, ki jo je omogočilo. Opozorilo obravnavajte kot celotno ugotovitev. Je natančno in je prišlo, preden je kdo kopiral datoteko.

Prilagodite način identiteti storitve

Dostop samo za lastnika ustreza ključu, ki ga uporablja ta lastnik. Storitev z namerno skupno skupino lahko potrebuje drugačno nadzorovano ureditev, na primer skupinsko branje ključa v lasti storitvenega računa. Slepo nastavljanje enega številskega načina za vse datoteke pokvari podprte odjemalce, in chmod -R 777 ni rešitev za nič.

Preden kar koli spremenite, preverite lastnika in storitveni račun. Javna potrdila CA in zasebni identitetni ključi imajo različne zahteve glede tajnosti, tudi ko so v isti mapi, zato rekurzivni način na celotni mapi z njimi ravna kot z istim objektom.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Na drugih platformah uporabite dokumentirano shrambo ključev ali model nadzora dostopa, namesto da prevajate načine Unix v ugibanje. Ime datoteke, ki se konča na private, je oznaka, ne mehanizem izvajanja.

Poiščite kopije, ki jih način ne pokriva

Urejevalniki, arhivi varnostnih kopij, izvoženi profili in začasni paketi lahko vsak ohrani isto identiteto. Te kopije zaščitite glede na njihovo vsebino, ker zaostritev izvirne datoteke ne naredi ničesar za tisto v lanskem tar arhivu.

Geslo na datoteki s ključem je uporabno za shranjeno gradivo in ne opravičuje objave šifrirane datoteke ob njenem geslu. Dovoljenja ščitijo trenutni objekt datotečnega sistema; ne povedo nič o poverilnici, ki je bila že kopirana drugam.

Poiščite kopije, preden delo razglasite za končano: grep -rl vrstico glave ključa v verjetnih mapah in pogled na izjeme varnostnih kopij. Rezultat je običajno zanimivejši od datoteke, s katero ste začeli.

Po popravku preverite in zamenjajte

Preizkusite, ali se predvidena storitev še vedno preverja, nato potrdite, da noben nepotreben račun ni dobil dostopa. Diagnostični izhod omejite na metapodatke, ker tiskanje ključa ni potrebno za dokaz, da je datoteka berljiva in gradivo shrani v dnevnik.

Če je bil ključ izpostavljen, zaostrite način, nato zamenjajte poverilnico in prekličite staro. Specifikacija POSIX chmod pojasnjuje, kaj pomeni vsak bit načina, kar je vredno vedeti, preden bo naslednji pregled zahteval, da utemeljite izbrano število.