ProtectHome iyo abuurka TOTP: sababta gelitaanka VPN uu ugu guuldarraysto

Xaqiijiyaha waxa uu muujinayaa koodh cusub oo lix lambar ah, VPN ayaa diidayaa, isla koodkaasina si fiican ayaa loo xaqiijiyaa marka aad ka tijaabiso shell-kaaga. Farqigaas waa sheekada oo dhan. Qaybta PAM oo aan furi karin sirta diiwaangelinta waxay soo celisaa guuldarro u eg koodh khaldan, jawiga adeegga oo qariya guryaha ayaa sabab caadi ah. Ka hor inta aadan dabcisan wax ogolaansho ah, go'aanso saddexda xaaladood midka aad ku jirto.

Saddexda guuldarro midkee baa kan?

Tan koowaad waa sir ay qaybtu gabi ahaanba akhriyi karin. Tan labaad waa sir ay akhriyi karto laakiin aan cusboonaysiin karin. Tan saddexaad waa koodh runtii khaldan, badanaa sababta oo ah leexashada saacadda ama qiime dib loo isticmaalay.

Kala soo bixi iyadoo la akhrinayo joornaalka adeegga iyo diiwaanka xaqiijinta nidaamka hal isku day oo fashilmay, ka dib xaqiiji adeegga PAM ee plugin-ka uu rarayo iyo sadarka qaybta ee adeeggaas isticmaalo. Fariin guud oo xaqiijin fashil ah ma kala saarto, iyo tijaabo gacan oo guulaystay sidoo kale ma kala saarto, maxaa yeelay shell-kaaga maaha jawiga adeegga.

Muuqaalka nidaamka faylalka ee unugga waa dembiilaha caadiga ah marka kaliya adeegga fashilmo.

systemctl show -p ProtectHome -p ProtectSystem -p ReadWritePaths [email protected]
ls -l /var/lib/vpn-otp/*/.google_authenticator 2>/dev/null | head -n 20

Ikhtiyaar A: sirta ka qaad guriga

Marka adeeggu qariyo /home oo aad doorbidayso inaad ilaaliso difaacaas, kaydi sirta meel uu arki karo. Qaybtu waxay aqbashaa waddo secret= iyo akoon user= oo sameeya hawlgallada faylalka, taas oo u oggolaanaysa kaydka dhexe inuu u adeego aqoonsiyo badan.

Kani waa ikhtiyaarka nadiifka ah, waana kan ugu taxaddar badan u baahan, maxaa yeelay kayd la wadaago wuxuu hal galbeed ka dhigayaa xadka amniga akoon kasta.

auth required pam_google_authenticator.so secret=/var/lib/vpn-otp/${USER}/.google_authenticator user=vpn-otp

Hubi saddex arrimood ka hor inta aadan ku kalsoonaan: akoonku wuu jiraa, habka shaqada ee qaybtu wuu u gudbi karaa, faylalkuna waa u malqan yihiin habab xaddidan. Ha isticmaalin ~ ama waddo doorsoome guri leh oo la socota user=, hana damin hubinta lahaanshaha qaybta si waddo u shaqayso. Hayso marxaladda password-ka iyo inta kale ee isku-xidhka mid aan dhaqaaqin.

Ikhtiyaar B: ka tag faylka oo fur waddo

Haddii sirta ay tahay inay ku sii jirto guriga isticmaalaha, unuggu wuxuu u baahan yahay muuqaal ka kooban hal galbeedkaas isagoon muujin guryaha kale ee martigeliyaha. drop-in wuxuu ku dari karaa xidhitaan cidhiidhi ah oo ku hoos yaal guri sandbox ah.

Tani waxay hayaanaysaa lahaanshaha isticmaale kasta oo qaab ah, iyadoo qiimaha beddelka unugga oo dib loo eegi doono mar kasta oo sandbox-ku isbeddelo.

Laba xad ayaa si fudud loo seegaa. Waddo akhris-kaliya oo lagu daray hoosta galbeedka sandbox-ku qariyo ma muujiso, maxaa yeelay waalidka halkaas ma joogo. Xidhitaankuna waa inuu noqdaa mid la qori karo haddii qaybtu tahay inay cusboonaysiiso xaaladda, taas oo ikhtiyaarka xiga soo bandhigaysa. U qor drop-in sida fayl gaar ah halkii aad ka tafatiri lahayd unugga la baakiday ee hoos yaal /usr/lib, si casriyeyn baakadku si aamusan uusan uga noqon.

Ikhtiyaar C: hayso sandbox-ka oo hagaaji qoraallada xaaladda

Akhriska sirta waa kala bar xaqiijinta oo keliya. Qaybtu waxay dib u qori kartaa macluumaadka leexashada waqtiga, ilaalinta dib-u-ciyaarta ama tiriyaha, faylka mara hubinta akhriska weli wuu ku fashilmi karaa qoraalka.

Guuldarradu waxay u egtahay koodh xun isku dayga xiga ee ma aha kan, sidaas darteed waxaa loo khaldaa leexashada saacadda.

Siin galbeed u gaar ah oo la qori karo oo u jihee waddada sirta halkaas, halkii aad ka dhigi lahayd guriga oo dhan mid la qori karo. Xaqiiji mulkiilaha galbeedka, booska bannaan ee nidaamka faylalka iyo in unuggu meel kale qoraallada xaddido. Kadib tijaabi laba gelitaan oo isku xigta, maxaa yeelay tan labaad waxay caddeynaysaa waddada qoraalka tan koowaadna akhriska oo keliya.

U xaqiiji sida adeegga, ma aha sida naftaada

Hubin kasta oo muhiim ah waa inay ku dhex shaqeeyaan sandbox-ka unugga iyadoo leh aqoonsiga unugga.

Amar ku guulaysta root ahaan waxa uu kuu sheegaa in faylku jiro oo wax kale ma jiraan. Gelitaan adeegga dhabta ah waxa uu kuu sheegaa in qaybtu akhriyi karto sirta, isticmaali karto oo dib u qori karto wixii ay u baahan tahay.

Ugu dambayntii, hayso shuruudda mid aan dhaqaaqin. Ku darista ikhtiyaar password eber ah, aqbalidda guuldarrooyinka akhris-kaliya ama ka saarista sandbox-ka dhammaantood waxay tirtiri lahaayeen calaamadda iyagoo beddelaya siyaasadda. Isticmaalaha looga baahan yahay inuu soo bandhigo koodh waa in sidoo kale la diido marka sirta aan la gaari karin.