Ruhusa ya utafutaji kwenye kila folda kabla ya ufunguo

Hali ya 0600 na mmiliki sahihi hayahakikishi kwamba huduma inaweza kufungua ufunguo. Ruhusa inayokosekana kwa kawaida iko kwenye folda iliyo juu yake. Linux husuluhisha njia kipengele kimoja kwa wakati, na kila hatua inahitaji ruhusa ya utafutaji kabla ya kujaribu inayofuata. Soma njia yote, sio mstari wa mwisho wa orodha.

Ruhusa ya kusoma ni hatua ya mwisho, sio pekee

Kufungua faili kunahitaji kiini kupita kutoka mzizi au folda ya kazi kupitia kila kipengele cha njia. Folda isiyo na ruhusa ya utafutaji inasimamisha safari hiyo kwa hitilafu ya ruhusa. Hali ya faili yenyewe haichunguzwi kamwe, kwa hivyo ufunguo unaosomeka kikamilifu huonekana kutosomeka. Hitilafu mara nyingi huja wakati wa kufungua bila kutaja folda, ndiyo sababu faili ya mwisho inalaumiwa.

Kwa folda, biti ya utekelezaji inamaanisha utafutaji, sio kutekeleza yaliyomo. Ufunguo unabaki kuwa data, na hakuna sehemu ya ukarabati huu inayohitaji kuuweka alama kama unaotekelezeka.

Pitia njia kama akaunti ya huduma

Orodhesha kila kipengele pamoja na mmiliki wake na hali yake, kisha rudia usomaji kama utambulisho halisi wa huduma. Tofauti kati ya shell yako na daemon mara nyingi ni jibu lote. Fuata viungo vya ishara hadi lengo halisi, kwa sababu njia iliyotatuliwa ndiyo inayokaguliwa.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Huduma inaweza pia kufungua faili katika zaidi ya awamu moja. Baadhi ya nyenzo husomwa wakati wa usanidi wenye upendeleo, wakati faili nyingine hufunguliwa baada ya upendeleo kutupwa. Shell ya mzizi inayosoma faili haizalishi upatikanaji wa mfanyakazi wa baadaye. Nafasi ya majina ya upachikaji inaweza kuonyesha mtazamo tofauti wa njia hiyo hiyo, hasa ndani ya kontena, kwa hivyo linganisha mtazamo wa mfumo wa faili wa daemon na wako.

Badilisha ruhusa nyembamba zaidi inayofaa

Chagua mpangilio mdogo zaidi unaompa mchakato upatikanaji: kikundi kinachodhibitiwa na utafutaji kwenye folda zinazohitajika, eneo linalosimamiwa ambalo huduma tayari inamiliki, au utaratibu mwingine ulioandikwa. Kusoma faili hakuhitaji ruhusa ya kuandika kwenye folda yake. Ruhusa pana ya uandishi ya kikundi kwenye usanidi wenye upendeleo sio ukarabati wa kawaida wa njia. 0777 ya kurudia pia sio suluhisho.

Andika kipengele ulichobadilisha na kwa nini. Mabadiliko ya ruhusa bila sababu iliyoandikwa ni magumu kukagua na rahisi kusahau.

Tazama zaidi ya hali baada ya safari tu

Ikiwa biti za hali zinaonekana kutosha, ukaguzi uliobaki ni ACL, sera ya usalama na vikwazo vya sandbox. ACL inaweza kutoa upatikanaji ambao biti za hali zinaonyesha haupo, au kukataa upatikanaji ambao zinaonekana kuuruhusu. Mipangilio hiyo ni ya mmiliki wa usanidi aliyeopo, na inapaswa kurekebishwa kwa ubanifu badala ya kuzimwa. Tofauti ya mzizi au folda ya kazi inaweza pia kueleza njia kamili inayofanya kazi katika mazingira moja na kushindwa katika mengine.

Usipoteze mtazamo wa faili ni nini unapokarabati upatikanaji. Cheti cha CA ni cha umma kwa muundo; ufunguo wa faragha sio. Faili ambazo mteja huandika upya pia zinahitaji haki tofauti za uandishi kuliko ufunguo wa utambulisho unaosomeka tu. Kagua metadata bila kuchapisha siri, kisha thibitisha kwamba huduma yenyewe inafanya kazi baada ya mabadiliko. Dokezo fupi katika nyaraka za huduma humwokoa mtu anayefuata safari hiyo hiyo.