Si të inspektohet gjendja e IPsec pa publikuar çelësat e tij

Një dump i gjendjes së IPsec nuk është raport gjendjeje, dhe trajtimi i tij si i tillë është pikërisht rruga se si materiali i çelësave përfundon në një gjurmues publik problemesh. Disa dalje të inspektimit të kernelit përfshijnë çelësat e trafikut që përdor kernel-i, së bashku me adresa, selektorë dhe numërues që janë vërtet të dobishëm. Zakoni i sigurt është të mblidhet së pari përmbledhja dhe të arrihet në gjendjen e papërpunuar vetëm kur përmbledhja nuk mund t’i përgjigjet pyetjes. Nëse gjithsesi duhet të shikoni gjendjen e papërpunuar, shikojeni lokalisht dhe ndani diçka më të ngushtë.

Kontrolli 1: a mund të dalë fare ky artefakt nga makina

Një skedar konfigurimi, një çelës privat, një kapje paketash pa kufizime dhe një dump i papërpunuar gjendjeje janë të gjitha sekrete derisa të vërtetohet e kundërta. Një komandë që printon çelësa nuk bëhet e sigurt nga fakti që e ekzekutuat për diagnozë.

Rregulli është mjaft i thjeshtë për t’u thënë në një fjali: ndani vëzhgimin që i përgjigjet pyetjes, jo gjendjen e makinës që e prodhoi.

Kontrolli 2: zgjidhni komandën e përmbledhjes, jo dump-in e gjendjes

Për strongSwan swanctl --list-sas shfaq përmbledhjen e shoqërimit: identitete, child SA të instaluara, gjendje dhe numërues. Nuk kërkon dump-in e papërpunuar të çelësave dhe është gjëja e parë që duhet ngjitur në një tiketë. Nga ana e kernelit, iproute2 mbështet ip xfrm state list nokeys në versionet që dokumentojnë këtë opsion, gjë që shtyp materialin e çelësave duke mbajtur fushat e shoqërimit.

Konfirmoni sintaksën në manualin lokal përpara se të mbështeteni tek ajo, sepse opsioni nuk është i pranishëm në çdo version, dhe një listë e përgjithshme gjendjeje pa të është një komandë tjetër me dalje tjetër. Ekzekutimi i ip xfrm state në një ndërtim të vjetër për të parë nëse flamuri ekziston është pikërisht gabimi me të cilin merret kjo listë kontrolli.

Kontrolli 3: shënoni vetëm atë që i duhet hetimit

Gjendja e shoqërimit, algoritmet, selektorët, vulat kohore, drejtimi dhe numëruesit përkatës zakonisht mjaftojnë. Identitetet e llogarive, adresat publike dhe topologjia e brendshme shpesh jo, dhe mund të redaktohen pa humbur vlerën diagnostike.

Redaktoni si parazgjedhje dhe shtoni përsëri sipas kërkesës. Kush lexon tiketën tuaj mund të kërkojë një fushë më shumë; por nuk mund ta bëjë një çelës të ngjitur të pavërejtur.

Ka një rrugë të mesme që ia vlen të njihet: edhe një përmbledhje mund të jetë e ndjeshme. Identitetet, adresat e palëve dhe emrat e child SA përshkruajnë topologjinë tuaj, dhe në disa organizata kjo është në vetvete informacion i kufizuar. Vendosni kush është publiku përpara se të ngjitni, dhe preferoni një kanal me kontrollin e duhur të aksesit ndaj një problemi publik. Një komandë e sigurt nuk është e njëjta gjë me një destinacion të sigurt.

Kontrolli 4: ndërlidhni një përpjekje në të dy skajet

Kapni klientin dhe portën për të njëjtën përpjekje lidhjeje, në të njëjtën kohë, dhe sigurohuni që shoqërimi që përshkruani është ai që prodhoi ajo përpjekje. Përzierja e një child SA të vjetruar nga një përpjekje e mëparshme me një pamje të freskët rrugësh prodhon një raport brendësisht koherent dhe plotësisht mashtrues.

Identifikoni shoqërimin me identifikuesit e tij unikë dhe jo me tunelin, dhe shënoni drejtimin e dështimit. Nëse simptomi është mungesa e trafikut në një drejtim, thoni cili dhe përfshini një destinacion testimi të padëmshëm, që lexuesi të arsyetojë për rrugën në vend që të hamendësojë. Një numërues që është zero në një drejtim dhe rritet në tjetrin e lokalizon problemin shumë më mirë se çdo dump çelësash. Mbani vulat kohore në një zonë të vetme kohore dhe thoni cilën.

Kontrolli 5: çfarë të bëhet nëse materiali tashmë është ekspozuar

Fshirja e bashkëngjitjes nuk provon që askush nuk e ka mbajtur, dhe një ngjitje publike kopjohet shpejt.

Trajtojeni atë si incident dhe përdorni procesin e zëvendësimit të operatorit: rrotulloni çelësat ose kredencialet e prekura, kontrolloni nëse ekspozimi nënkupton një kompromis më të gjerë, dhe ndiqni rrugën e njoftimit që zbatohet. Pastrimi teknik është pjesa e lehtë; supozimi se askush nuk e ka lexuar është pjesa e vështirë.

Praktika e qëndrueshme është një shabllon i vogël që plotësoni përpara se të ngjitni: cili skaj, cili identifikues shoqërimi, cili drejtim, cili numërues dhe çfarë është përjashtuar tashmë. dokumentacioni i swanctl list-sas përshkruan fushat e përmbledhjes, dhe kjo është ajo që shumica e tiketave me të vërtetë kanë nevojë. Çdo gjë tjetër është në dispozicion sipas kërkesës për këdo që i nevojitet. Një raport diagnostik duhet të përmbajë prova, jo akses.