Ufunguo wako wa VPN unasomeka na kila mtu: nini cha kurekebisha

Dalili ya kwanza kwa kawaida ni onyo, si hitilafu. Mteja anakataa kupakia ufunguo kwa sababu faili inasomwa na kikundi au kila mtu, au ukaguzi wa usalama unapata client.key katika modi 644 ndani ya saraka ya wasifu ambayo pia ina vifurushi vilivyohamishwa. Hakuna kilichoshindikana bado, na ndiyo sababu onyo linapuuza. Ufunguo unafanya kazi, handaki inakwenda juu, na faili inasomwa na kila akaunti kwenye mashine.

Dalili ni onyo la ruhusa, si kukatika

Katika mfumo unaofanana na Unix, ufunguo wa faragha unapaswa kusomeka na akaunti inayoendesha huduma pekee. Modi 600 na mmiliki sahihi ni mpangilio wa kawaida. Modi 644 inamaanisha kila mtumiaji wa ndani anaweza kunakili ufunguo, na kwenye mwenyeji wa build unaoshirikiwa hayo ni hadhira halisi.

Wateja wanaokagua hili wanakufanyia hisani. Wale wasiokagua si ushahidi kwamba faili ni salama, na muunganisho uliofanikiwa hausemi chochote kuhusu nani mwingine anaweza kusoma nyenzo iliyouwezesha. Chukulia onyo kama ugunduzi wote. Ni sahihi, na lilikuja kabla ya mtu yeyote kunakili faili.

Oanisha modi na utambulisho wa huduma

Ufikiaji wa mmiliki pekee unafaa ufunguo unaotumiwa na mmiliki huyo. Huduma yenye kikundi kilichoshirikiwa kwa makusudi inaweza kuhitaji mpangilio mwingine unaodhibitiwa, kama vile usomaji wa kikundi kwenye ufunguo unaomilikiwa na akaunti ya huduma. Kuweka kila faili kwa upofu kwenye modi moja ya nambari huvunja wateja wanaotumika, na chmod -R 777 si suluhisho la kitu chochote.

Kagua mmiliki na akaunti ya huduma kabla ya kubadilisha chochote. Vyeti vya CA vya umma na funguo za utambulisho wa faragha vina mahitaji tofauti ya usiri hata vinapokuwa katika saraka moja, kwa hiyo modi ya kurudia kwenye folda yote inazichukulia zote mbili kama kitu kimoja.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Kwenye majukwaa mengine, tumia hazina ya funguo iliyoandikwa au mfumo wa udhibiti wa ufikiaji badala ya kutafsiri modi za Unix kwa kukisia. Jina la faili linaloishia kwa private ni lebo, si utaratibu wa utekelezaji.

Tafuta nakala ambazo modi haizihusishi

Wahariri, kumbukumbu za nakala za akiba, wasifu zilizohamishwa na vifurushi vya muda kila kimoja kinaweza kuhifadhi utambulisho huo huo. Linda nakala hizo kulingana na maudhui yake, kwa sababu kukaza faili asili hakufanyi chochote kwa ile iliyo kwenye tar ya mwezi uliopita.

Neno la siri kwenye faili ya ufunguo linafaa kwa nyenzo zilizohifadhiwa na halihalalishi kuchapisha faili iliyofichwa kando ya neno lake la siri. Ruhusa zinalinda kitu cha sasa cha mfumo wa faili; hazisemi chochote kuhusu kitambulisho kilichonakiliwa mahali pengine.

Tafuta nakala kabla ya kutangaza kazi imekamilika: grep -rl mstari wa kichwa wa ufunguo katika saraka zinazowezekana, na mtazamo wa misamaha ya nakala za akiba. Matokeo kwa kawaida yanavutia zaidi kuliko faili uliyoanza nayo.

Baada ya marekebisho, thibitisha na ubadilishe

Jaribu kwamba huduma inayokusudiwa bado inathibitisha, kisha hakikisha hakuna akaunti isiyo ya lazima iliyopata ufikiaji. Punguza matokeo ya uchunguzi hadi metadata, kwa sababu kuchapisha ufunguo hakuhitajiki kuthibitisha kwamba faili inasomeka na huweka nyenzo kwenye logi.

Ikiwa ufunguo ulifichuliwa, kaza modi, kisha ubadilishe kitambulisho na ubatilishe cha zamani. Vipimo vya POSIX chmod vinaeleza maana ya kila biti ya modi, jambo ambalo linafaa kujulikana kabla ya ukaguzi unaofuata kukuomba kuhalalisha nambari uliyochagua.