Så granskar du IPsec-tillståndet utan att publicera nycklarna

En IPsec-tillståndsdump är inte en statusrapport, och att behandla den som en är precis hur nyckelmaterial hamnar i en offentlig ärendespårare. Vissa utdata från kärninspektion innehåller trafiknycklarna som kärnan använder, tillsammans med adresser, selektorer och räknare som verkligen är användbara. Den säkra vanan är att samla sammanfattningen först och bara gripa efter det råa tillståndet när sammanfattningen inte kan svara på frågan. Om du ändå måste titta på det råa tillståndet, titta lokalt och dela något snävare.

Kontroll 1: kan den här artefakten överhuvudtaget lämna maskinen

En konfigurationsfil, en privat nyckel, en obegränsad paketinsamling och en rå tillståndsdump är alla hemligheter tills motsatsen bevisats. Ett kommando som skriver ut nycklar blir inte säkert av att du körde det för diagnostik.

Regeln är enkel nog att säga i en mening: dela observationen som svarar på frågan, inte maskintillståndet som frambringade den.

Kontroll 2: välj sammanfattningskommandot, inte tillståndsdumpen

För strongSwan visar swanctl --list-sas associationssammanfattningen: identiteter, installerade child-SA:er, tillstånd och räknare. Det kräver inte den råa nyckeldumpen, och det är det första du bör klistra in i ett ärende. På kärnsidan stöder iproute2 ip xfrm state list nokeys på versioner som dokumenterar valet, vilket undertrycker nyckelmaterial medan associationsfälten behålls.

Bekräfta syntaxen i den lokala handboken innan du litar på den, eftersom valet inte finns i varje utgåva, och en allmän tillståndslista utan det är ett annat kommando med annan utdata. Att köra ip xfrm state på ett gammalt bygge för att se om flaggan finns är precis det fel som den här checklistan handlar om.

Kontroll 3: notera bara det undersökningen behöver

Associationsstatus, algoritmer, selektorer, tidsstämplar, riktning och de relevanta räknarna räcker oftast. Kontoidentiteter, offentliga adresser och intern topologi gör det ofta inte, och de kan maskas utan att diagnostiskt värde förloras.

Maska som standard och lägg tillbaka på begäran. Den som läser ditt ärende kan be om ett fält till; men han kan inte göra en inklistrad nyckel osedd.

Det finns en mellanväg som är värd att känna till: en sammanfattning kan fortfarande vara känslig. Identiteter, peer-adresser och child-namn beskriver din topologi, och i vissa organisationer är det i sig begränsad information. Bestäm vem publiken är innan du klistrar in, och föredra en kanal med rätt åtkomstkontroll framför ett offentligt ärende. Ett säkert kommando är inte samma sak som en säker destination.

Kontroll 4: korrelera ett försök i båda ändar

Spela in klienten och gatewayen för samma anslutningsförsök, samtidigt, och se till att den association du beskriver är den som försöket gav upphov till. Att blanda en inaktuell child-SA från ett tidigare försök med en färsk ruttbild ger en rapport som är internt konsekvent och helt missvisande.

Identifiera associationen med dess unika identifierare och inte med tunneln, och notera felets riktning. Om symtomet är ingen trafik i en riktning, säg vilken och ta med en ofarlig testdestination, så att läsaren kan resonera om vägen i stället för att gissa. En räknare som är noll i en riktning och stiger i den andra lokaliserar problemet mycket bättre än någon nyckeldump. Håll tidsstämplarna i en tidszon och säg vilken.

Kontroll 5: vad du ska göra om materialet redan har exponerats

Att radera bilagan bevisar inte att ingen har sparat den, och en offentlig inklistring kopieras snabbt.

Behandla det som en incident och använd operatörens utbytesprocess: rotera de berörda nycklarna eller inloggningsuppgifterna, kontrollera om exponeringen innebär en bredare kompromiss, och följ den anmälningsväg som gäller. Den tekniska städningen är den enkla delen; antagandet att ingen har läst det är den svåra.

Den hållbara praktiken är en liten mall som du fyller i innan du klistrar in: vilken ände, vilken associationsidentifierare, vilken riktning, vilken räknare och vad som redan har uteslutits. dokumentationen för swanctl list-sas beskriver sammanfattningsfälten, och det är vad de flesta ärenden faktiskt behöver. Allt annat finns tillgängligt på begäran för den som behöver det. En diagnostisk rapport bör innehålla bevis, inte åtkomst.