Jinsi ya kutuma kumbukumbu za kifaa kwa mkusanyaji wa mbali kwa usalama

Kifaa kinaweza kutoa kumbukumbu, mkusanyaji yuko upande wa pili wa mtandao, na swali la kwanza ambalo kila mtu huuliza ni handaki gani lijengwe. Mfumo huu unaanza mahali pasipofaa. Usafirishaji huamuliwa na muundo ambao kifaa kinaweza kuzalisha, uthibitishaji ambao mkusanyaji atakubali, na maana ya “imewasilishwa” wakati kiungo kinapokatika. Andika majibu hayo matatu, na usafirishaji kwa kawaida hujichagua wenyewe.

Anza na kile kifaa kinachoweza kutoa

Kwa vitendo kuna maumbo matatu tu. Matukio ya syslog ya mtu binafsi kupitia UDP au TCP, upakiaji wa HTTPS uliothibitishwa uliojengwa ndani ya bidhaa, au faili kamili zilizoandikwa kwenye diski ambazo lazima zihamishwe. Firewall inayoweza kutuma syslog ya UDP pekee haitakuwa mtumaji wa TLS kwa sababu umeongeza handaki; itaendelea kutuma datagram zisizothibitishwa, sasa ndani ya bahasha iliyosimbwa.

Kwa hiyo kwanza orodhesha mtumaji: itifaki, msaada wa TLS na maktaba gani ya TLS, ikiwa inaweza kuthibitisha cheti cha mkusanyaji, ikiwa inaweza kuwasilisha cheti cha mteja, na ikiwa bafa ya kutuma inastahimili kuwashwa upya. Kila kitu ambacho kifaa hakiwezi kufanya lazima kifanywe na kitu kingine kwenye njia, na kitu hicho kingine kinakuwa sehemu ya muundo wako.

TLS syslog: njia fupi zaidi wakati pande zote zinazungumza

Ikiwa kifaa kinasaidia syslog kupitia TLS na mkusanyaji anaimaliza, tumia hiyo na usimame. Itifaki ya programu inajilinda yenyewe, mkusanyaji anamthibitisha mtumaji, na hakuna hatua ya ziada ambayo upatikanaji wake sasa unamiliki. Mtego ni kwamba “TLS syslog” inashughulikia aina mbalimbali za utekelezaji, na mwongozo wa sasa wa syslog salama umeenda zaidi ya orodha za usimbaji fiche kwenye mafunzo ya zamani, na ndiyo sababu kifaa cha kupeleka kinachofanya kazi kinavunjika baada ya kuboresha maktaba.

Katika rsyslog, jina la moduli ya usafirishaji pekee linakuambia uko katika enzi gani: lmnsd_gtls hufunika GnuTLS, wakati lmnsd_ossl hufunika OpenSSL na ndiyo inayotolewa na vifurushi vya sasa vya 8.x. Kitendo cha kupeleka chenye uthibitishaji wa cheti kinaonekana kama hivi, na majina kamili ya vigezo yanafaa kuhakikiwa dhidi ya toleo lililosakinishwa:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Hakiki sehemu ya mwisho kabla ya kutatua matatizo ya mtumaji. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error ama hukamilisha kupeana mkono na mnyororo halali au inakuambia hasa ukaguzi gani umeshindwa. Jaribu kutoka kwa kifaa, sio kutoka kwa kompyuta yako ya mkononi, kwa sababu hifadhi ya uaminifu ya kifaa ndiyo muhimu.

SFTP: nzuri kwa faili, mbaya kwa mitiririko

Uwasilishaji wa msingi wa faili unafaa kwa vifaa vinavyoandika kumbukumbu zinazozunguka na kitu kingine chochote. Uhamishaji wa msingi wa SSH unakupa funguo za mwenyeji, funguo kwa kila akaunti na mfumo wa faili unaoweza kukaguliwa, ambayo ni hadithi nzuri ya uaminifu kwa kifaa kisichoweza TLS kabisa. Ni chaguo mbaya kwa mitiririko ya matukio, ambapo “faili huandikwa kila saa” inamaanisha kwamba hitilafu inakugharimu mkia wa saa ya sasa.

Acha uthibitishaji wa mwenyeji umewashwa. Wito wa kundi unaoizima ili kuepuka kidokezo huharibu uthibitishaji pekee ambao usafirishaji unao:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Bana ufunguo wa mwenyeji katika known_hosts ya akaunti wakati wa utayarishaji, zuia akaunti kwenye saraka lengwa, na upendelee mfumo mdogo wa internal-sftp na chroot. Panga pia hadithi ya kutuma tena: ikiwa faili inatumwa tena baada ya kushindwa kwa sehemu, mkusanyaji lazima atofautishe nakala kutoka faili mpya, kwa kawaida kwa jina pamoja na checksum na sio kwa muda wa kuwasili.

Wakati lango la ndani au handaki ndilo jibu la uaminifu

Vifaa vingine vinaweza kuzungumza muundo ambao hakuna mtu anataka kuufichua. Katika hali hiyo mkusanyaji aliyeidhinishwa kwenye mtandao wa kifaa chenyewe hupokea muundo asilia na kuupeleka mbele kupitia TLS. Hiyo ni muundo halali, lakini kuwa sahihi kuhusu kile inachonunua: usimbaji fiche unaoanza kwenye lango haulindi sehemu kati ya kifaa na lango kwa nyuma, kwa hiyo hatua hiyo bado inahitaji mpaka wake wa uaminifu na udhibiti wa ufikiaji.

Handaki la tovuti au kifaa lililoelekezwa ni chaguo zito zaidi na ndilo sahihi wakati mkusanyaji lazima ahifadhi anwani ya kibinafsi na kubeba huduma kadhaa, sio kumbukumbu pekee. Huleta upangaji wa anwani, sheria za ufikiaji, njia za kurudi na mzunguko wa maisha wa sehemu ya mwisho ya handaki. Pia haiboresha itifaki ya ndani: syslog ya UDP ndani ya handaki la IPsec bado ni huduma ya datagram bila uthibitisho wa uwasilishaji.

Chochote unachochagua, weka idhini ya mkusanyaji nyembamba kuliko usafirishaji. Utambulisho wa handaki ni wa sehemu ya mwisho, na hausemi chochote kuhusu kifaa gani cha chini kilizalisha uwanja fulani wa jina la mwenyeji katika ujumbe.

Andika mkataba wa uwasilishaji kabla ya kutuma

Usimbaji fiche, uthibitishaji na uhifadhi hujibu maswali tofauti, na foleni si sera ya uhifadhi. Kabla kumbukumbu ya kwanza kuondoka kwenye kifaa, amua maana halisi ya uthibitisho kwenye mkusanyaji huyu: imepokelewa kwenye waya, imekubaliwa kwa usindikaji, au imeandikwa kwa kudumu kwenye hifadhi. Hizi ni dhamana tatu tofauti na ya mwisho pekee ndiyo inastahimili kuwashwa upya kwa mkusanyaji.

Kisha jibu maswali ya uendeshaji kwa maandishi. Matukio yasiyotumwa yanasubiri wapi, na bafa hiyo inastahimili kukatika kwa umeme? Nini hutokea inapojazwa, na nani huarifiwa? Je, marudio yanadhibitiwaje, na nakala zinatambuliwaje? Uwanja gani unathibitisha utambulisho wa mtumaji, ikizingatiwa kuwa hatua ya kupeleka inaweza kuandika upya jina la mwenyeji?

Weka muundo mdogo vya kutosha kuelezwa katika aya moja: usafirishaji mdogo unaosaidiwa unaobeba matukio yanayohitajika, pamoja na tamko la wazi la dhamana ambazo hautoi. Ikiwa jibu linahitaji hatua mbili, sema hivyo kwenye runbook na upe kila hatua mmiliki.