Çelësi juaj VPN lexohet nga të gjithë: çfarë duhet rregulluar

Shenja e parë është zakonisht një paralajmërim, jo një dështim. Një klient refuzon të ngarkojë një çelës sepse skedari lexohet nga grupi ose nga të gjithë, ose një rishikim sigurie gjen client.key në modin 644 në një drejtori profili që përmban edhe paketa të eksportuara. Asgjë nuk ka dështuar ende, dhe pikërisht për këtë paralajmërimi shpërfillet. Çelësi funksionon, tuneli ngrihet, dhe skedari lexohet nga çdo llogari në makinë.

Simptoma është një paralajmërim lejeje, jo një ndërprerje

Në një sistem të ngjashëm me Unix, një çelës privat duhet të lexohet vetëm nga llogaria që ekzekuton shërbimin. Modi 600 me pronarin e duhur është rregullimi i zakonshëm. Modi 644 do të thotë që çdo përdorues lokal mund të kopjojë çelësin, dhe në një host ndërtimi të përbashkët ky është publik i vërtetë.

Klientët që e kontrollojnë këtë ju bëjnë një nder. Ata që nuk e kontrollojnë nuk janë provë që skedari është i sigurt, dhe një lidhje e suksesshme nuk thotë asgjë për kë tjetër mund të lexojë materialin që e bëri të mundur. Trajtojeni paralajmërimin si të gjithë gjetjen. Është i saktë dhe erdhi para se dikush të kopjonte skedarin.

Përputhni modin me identitetin e shërbimit

Qasja vetëm për pronarin i shkon një çelësi që përdor ai pronar. Një shërbim me grup të përbashkët të qëllimshëm mund të ketë nevojë për një rregullim tjetër të kontrolluar, si leximi i grupit në një çelës në pronësi të një llogarie shërbimi. Vendosja verbërisht e një modi numerik për të gjitha skedarët prish klientët e mbështetur, dhe chmod -R 777 nuk është zgjidhje për asgjë.

Kontrolloni pronarin dhe llogarinë e shërbimit përpara se të ndryshoni ndonjë gjë. Certifikatat publike CA dhe çelësat privatë të identitetit kanë kërkesa të ndryshme fshehtësie edhe kur ndodhen në të njëjtën drejtori, prandaj një mod rekurziv mbi të gjithë dosjen i trajton të dy si të njëjtin objekt.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Në platforma të tjera, përdorni ruajtësin e çelësave ose modelin e kontrollit të qasjes të dokumentuar, në vend që të përktheni modet Unix në një hamendje. Një emër skedari që mbaron me private është etiketë, jo mekanizëm zbatimi.

Gjeni kopjet që modi nuk i mbulon

Redaktorët, arkivat e rezervës, profilet e eksportuara dhe paketat e përkohshme mund secili të mbajë të njëjtin identitet. Mbrojini ato kopje sipas përmbajtjes së tyre, sepse shtrëngimi i skedarit origjinal nuk bën asgjë për atë në arkivin tar të muajit të kaluar.

Një frazë kalimi në një skedar çelësi është e dobishme për materialin e ruajtur dhe nuk justifikon publikimin e skedarit të kriptuar pranë fjalëkalimit të tij. Lejet mbrojnë objektin aktual të sistemit të skedarëve; ato nuk thonë asgjë për një kredencial të kopjuar tashmë diku tjetër.

Kërkoni kopjet përpara se ta shpallni punën të përfunduar: grep -rl rreshtin e kokës së çelësit në drejtoritë e mundshme dhe një vështrim te përjashtimet e rezervës. Rezultati zakonisht është më interesant se skedari me të cilin filluat.

Pas rregullimit, verifikoni dhe zëvendësoni

Provoni që shërbimi i synuar ende vërteton, pastaj konfirmoni që asnjë llogari e panevojshme nuk ka marrë qasje. Kufizoni daljen diagnostike në metadata, sepse printimi i çelësit nuk nevojitet për të provuar që skedari lexohet dhe e vendos materialin në një regjistër.

Nëse çelësi u ekspozua, shtrëngoni modin, pastaj zëvendësoni kredencialin dhe revokoni atë të vjetër. Specifikimi POSIX chmod shpjegon çfarë do të thotë çdo bit i modit, gjë që ia vlen të dihet përpara se rishikimi i radhës t'ju kërkojë të justifikoni numrin që zgjodhët.