Како проверити стање IPsec-а без објављивања његових кључева

Испис стања IPsec-а није извештај о стању, и управо такав однос је пут којим кључни материјал заврши у јавном пратиоцу проблема. Неки излази прегледа језгра садрже кључеве саобраћаја које језгро користи, заједно са адресама, селекторима и бројачима који су заиста корисни. Сигурна навика је да се прво сакупи сажетак и да се сировом стању приступи само када сажетак не може да одговори на питање. Ако ипак морате да погледате сирово стање, гледајте локално и поделите нешто уже.

Провера 1: може ли овај артефакт уопште да напусти машину

Конфигурациона датотека, приватни кључ, неограничено хватање пакета и сирови испис стања сви су тајне док се не докаже супротно. Наредба која штампа кључеве не постаје безбедна зато што сте је покренули ради дијагностике.

Правило је довољно једноставно да се каже у једној реченици: поделите запажање које одговара на питање, а не стање машине које га је створило.

Провера 2: изаберите наредбу сажетка, а не испис стања

За strongSwan swanctl --list-sas приказује сажетак асоцијације: идентитете, инсталиране child SA, стања и бројаче. Не захтева сирови испис кључева и прва је ствар коју треба залепити у тикет. На страни језгра, iproute2 подржава ip xfrm state list nokeys у верзијама које документују ову опцију, што скрива кључни материјал уз задржавање поља асоцијације.

Потврдите синтаксу у локалном приручнику пре него што се ослоните на њу, јер опција није присутна у сваком издању, а општи списак стања без ње је друга наредба са другачијим излазом. Покретање ip xfrm state на старој градњи да видите постоји ли заставица управо је грешка о којој је овај контролни списак.

Провера 3: запишите само оно што истрага захтева

Стање асоцијације, алгоритми, селектори, временске ознаке, смер и релевантни бројачи обично су довољни. Идентитети налога, јавне адресе и унутрашња топологија често нису, и могу се редактирати без губитка дијагностичке вредности.

Редагујте по подразумеваном и додајте назад на захтев. Онај ко чита ваш тикет може да затражи још једно поље; али не може да учини да залепљени кључ не буде виђен.

Постоји средњи пут који вреди знати: и сажетак може бити осетљив. Идентитети, адресе партнера и имена child SA описују вашу топологију, а у неким организацијама то је само по себи ограничена информација. Одлучите ко је публика пре него што залепите, и претпоставите канал са исправном контролом приступа јавном проблему. Безбедна наредба није исто што и безбедно одредиште.

Провера 4: повежите један покушај на оба краја

Снимите клијента и приступну тачку за исти покушај везе, у исто време, и уверите се да је асоцијација коју описујете она коју је тај покушај произвео. Мешање застареле child SA из ранијег покушаја са свежим снимком рута даје извештај који је интерно доследан и потпуно обмањујући.

Идентификујте асоцијацију по њеним јединственим идентификаторима, а не по тунелу, и забележите смер квара. Ако је симптом одсуство саобраћаја у једном смеру, кажите у ком и додајте безопасно тест одредиште, да би читалац могао да размишља о путу уместо да нагађа. Бројач који је у једном смеру нула, а у другом расте локализује проблем много боље од било ког исписа кључева. Држите временске ознаке у једној временској зони и кажите којој.

Провера 5: шта учинити ако је материјал већ био изложен

Брисање прилога не доказује да га нико није сачувао, а јавно лепљење се брзо копира.

Третирајте то као инцидент и користите процес замене оператера: ротирајте погођене кључеве или акредитиве, проверите да ли изложеност значи шири компромис, и следите примењиви пут обавештавања. Техничко чишћење је лакши део; претпоставка да нико није прочитао је тежи део.

Трајна пракса је мали шаблон који попуните пре лепљења: који крај, који идентификатор асоцијације, који смер, који бројач и шта је већ искључено. документација swanctl list-sas описује поља сажетка, и то је оно што већини тикета заиста треба. Све остало је доступно на захтев ономе коме треба. Дијагностички извештај треба да садржи доказе, а не приступ.