சாவிக்கு முன் ஒவ்வொரு அடைவிலும் தேடல் அனுமதி

0600 முறையும் சரியான உரிமையாளரும் சேவை சாவியைத் திறக்கும் என்று உத்தரவாதம் அளிக்காது. காணாமல் போன அனுமதி பொதுவாக அதற்கு மேலே உள்ள அடைவில் இருக்கும். லினக்ஸ் பாதையை ஒரு நேரத்தில் ஒரு கூறாகத் தீர்க்கிறது, ஒவ்வொரு படியும் அடுத்த முயற்சிக்கு முன் தேடல் அனுமதி தேவை. முழு பாதையையும் படியுங்கள், பட்டியலின் கடைசி வரியை அல்ல.

படிக்கும் அனுமதி கடைசி படி, ஒரே படி அல்ல

ஒரு கோப்பைத் திறக்க கர்னல் வேரிலிருந்து அல்லது வேலை அடைவிலிருந்து பாதையின் ஒவ்வொரு கூறு வழியாகவும் செல்ல வேண்டும். தேடல் அனுமதி இல்லாத அடைவு அந்தப் பயணத்தை அனுமதி பிழையுடன் நிறுத்துகிறது. கோப்பின் சொந்த முறை ஒருபோதும் பார்க்கப்படுவதில்லை, எனவே முழுமையாக படிக்கக்கூடிய சாவி படிக்க முடியாததாகத் தெரிகிறது. பிழை பெரும்பாலும் திறக்கும் நேரத்தில் அடைவின் பெயரைக் குறிப்பிடாமல் வருகிறது, அதனால் கடைசி கோப்பு குற்றம் சாட்டப்படுகிறது.

ஒரு அடைவுக்கு, இயக்க பிட் என்றால் தேடல், உள்ளடக்கத்தை இயக்குவது அல்ல. சாவி தரவாகவே இருக்கும், இந்தச் சரிசெய்தலின் எந்தப் பகுதியும் அதை இயக்கக்கூடியதாகக் குறிக்க வேண்டியதில்லை.

சேவைக் கணக்காக பாதையில் நடக்கவும்

ஒவ்வொரு கூறையும் அதன் உரிமையாளர் மற்றும் முறையுடன் பட்டியலிடுங்கள், பின்னர் படிப்பை சேவையின் உண்மையான அடையாளமாக மீண்டும் செய்யவும். உங்கள் ஷெல்லுக்கும் டீமானுக்கும் இடையிலான வேறுபாடே பெரும்பாலும் முழு பதில். குறியீட்டு இணைப்புகளை உண்மையான இலக்கு வரை பின்தொடருங்கள், ஏனெனில் தீர்க்கப்பட்ட பாதையே சரிபார்க்கப்படுகிறது.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

ஒரு சேவை ஒன்றுக்கு மேற்பட்ட கட்டங்களில் கோப்புகளைத் திறக்கலாம். சில பொருள் சிறப்புரிமை பெற்ற அமைப்பின் போது படிக்கப்படுகிறது, மற்ற கோப்புகள் சிறப்புரிமைகள் கைவிடப்பட்ட பிறகு திறக்கப்படுகின்றன. கோப்பைப் படிக்கும் ரூட் ஷெல் பின்னர் வரும் பணியாளரின் அணுகலை மீண்டும் உருவாக்காது. மவுண்ட் பெயர்வெளி அதே பாதையின் வேறு காட்சியை வழங்கலாம், குறிப்பாக கொள்கலனுக்குள், எனவே டீமானின் கோப்பு முறைமைக் காட்சியை உங்களுடையதுடன் ஒப்பிடுங்கள்.

பொருந்தும் மிகக் குறுகிய அனுமதியை மாற்றவும்

செயல்முறைக்கு அணுகலைத் தரும் மிகச் சிறிய ஏற்பாட்டைத் தேர்ந்தெடுக்கவும்: தேவையான அடைவுகளில் தேடலுடன் கட்டுப்படுத்தப்பட்ட குழு, சேவை ஏற்கனவே வைத்திருக்கும் நிர்வகிக்கப்பட்ட இடம், அல்லது மற்றொரு ஆவணப்படுத்தப்பட்ட பொறிமுறை. கோப்பைப் படிக்க அதன் அடைவில் எழுதும் அனுமதி தேவையில்லை. சிறப்புரிமை பெற்ற அமைப்பில் பரந்த குழு-எழுத்து அனுமதி சாதாரண பாதை சரிசெய்தல் அல்ல. மீள்செயல் 0777 உம் தீர்வு அல்ல.

எந்தக் கூறை ஏன் மாற்றினீர்கள் என்பதைப் பதிவு செய்யுங்கள். காரணம் பதிவு செய்யப்படாத அனுமதி மாற்றம் மதிப்பாய்வு செய்யக் கடினம், மறக்க எளிது.

நடந்த பிறகே முறைகளுக்கு அப்பால் பாருங்கள்

முறை பிட்கள் போதுமானதாகத் தெரிந்தால், மீதமுள்ள சரிபார்ப்புகள் ACL, பாதுகாப்புக் கொள்கை மற்றும் சாண்ட்பாக்ஸ் கட்டுப்பாடுகள். முறை பிட்கள் இல்லை என்று குறிப்பிடும் அணுகலை ACL வழங்கலாம், அல்லது அவை அனுமதிப்பதாகத் தெரியும் அணுகலை மறுக்கலாம். அந்த அமைப்புகள் தற்போதைய அமைப்பு உரிமையாளருக்குச் சொந்தம், அவற்றை அணைப்பதற்குப் பதிலாகக் குறுகியதாகச் சரிசெய்ய வேண்டும். வேரூட் அல்லது வேலை அடைவு வேறுபாடும் ஒரு சூழலில் வேலை செய்து மற்றொன்றில் தோல்வியடையும் முழுமையான பாதையை விளக்கலாம்.

அணுகலைச் சரிசெய்யும்போது கோப்பு என்ன என்பதை மறந்துவிடாதீர்கள். CA சான்றிதழ் வடிவமைப்பால் பொதுவானது; தனிப்பட்ட சாவி அல்ல. வாடிக்கையாளர் மீண்டும் எழுதும் கோப்புகளுக்கும் படிக்க-மட்டும் அடையாளச் சாவியை விட வேறுபட்ட எழுத்து உரிமைகள் தேவை. ரகசியங்களை அச்சிடாமல் மெட்டாடேட்டாவை பரிசோதிக்கவும், பின்னர் மாற்றத்திற்குப் பிறகு சேவை தானே வேலை செய்கிறதா என்பதை உறுதிப்படுத்தவும். சேவை ஆவணத்தில் ஒரு சிறு குறிப்பு அடுத்த நபருக்கு அதே நடையைச் சேமிக்கிறது.