วิธีตรวจสอบสถานะ IPsec โดยไม่เปิดเผยคีย์

ดัมป์สถานะ IPsec ไม่ใช่รายงานสถานะ และการปฏิบัติต่อมันเช่นนั้นคือทางที่วัสดุคีย์จะไปจบในตัวติดตามปัญหาสาธารณะ ผลลัพธ์การตรวจสอบเคอร์เนลบางส่วนมีคีย์การรับส่งที่เคอร์เนลใช้งานอยู่ พร้อมด้วยที่อยู่ ตัวเลือก และตัวนับที่มีประโยชน์จริง นิสัยที่ปลอดภัยคือเก็บสรุปก่อน แล้วจึงเข้าถึงสถานะดิบเฉพาะเมื่อสรุปตอบคำถามไม่ได้ หากจำเป็นต้องดูสถานะดิบจริง ๆ ให้ดูในเครื่องและแบ่งปันสิ่งที่แคบกว่า

การตรวจสอบ 1: สิ่งนี้สามารถออกจากเครื่องได้หรือไม่

ไฟล์กำหนดค่า คีย์ส่วนตัว การดักจับแพ็กเก็ตแบบไม่จำกัด และดัมป์สถานะดิบ ล้วนเป็นความลับจนกว่าจะพิสูจน์เป็นอย่างอื่น คำสั่งที่พิมพ์คีย์ไม่ได้ปลอดภัยเพียงเพราะคุณเรียกใช้เพื่อวินิจฉัย

กฎง่ายพอที่จะพูดในประโยคเดียว: แบ่งปันสิ่งที่สังเกตได้ซึ่งตอบคำถาม ไม่ใช่สถานะเครื่องที่สร้างมันขึ้นมา

การตรวจสอบ 2: เลือกคำสั่งสรุป ไม่ใช่ดัมป์สถานะ

สำหรับ strongSwan swanctl --list-sas แสดงสรุปของสมาคม: อัตลักษณ์ child SA ที่ติดตั้ง สถานะ และตัวนับ ไม่ต้องใช้ดัมป์คีย์ดิบ และเป็นสิ่งแรกที่ควรวางในตั๋ว ฝั่งเคอร์เนล iproute2 รองรับ ip xfrm state list nokeys ในเวอร์ชันที่บันทึกตัวเลือกนี้ ซึ่งปิดวัสดุคีย์ขณะที่ยังคงฟิลด์ของสมาคมไว้

ยืนยันไวยากรณ์ในคู่มือภายในก่อนพึ่งพา เพราะตัวเลือกนี้ไม่มีในทุกเวอร์ชัน และรายการสถานะทั่วไปที่ไม่มีตัวเลือกนี้เป็นคำสั่งอื่นที่มีผลลัพธ์ต่างกัน การรัน ip xfrm state บนบิลด์เก่าเพื่อดูว่ามีแฟล็กหรือไม่คือข้อผิดพลาดที่รายการตรวจสอบนี้พูดถึง

การตรวจสอบ 3: บันทึกเฉพาะสิ่งที่การสอบสวนต้องการ

สถานะสมาคม อัลกอริทึม ตัวเลือก เวลาที่บันทึก ทิศทาง และตัวนับที่เกี่ยวข้องมักเพียงพอ อัตลักษณ์บัญชี ที่อยู่สาธารณะ และโครงสร้างภายในมักไม่เพียงพอ และสามารถปกปิดได้โดยไม่สูญเสียคุณค่าด้านการวินิจฉัย

ปกปิดโดยค่าเริ่มต้นและเพิ่มกลับเมื่อมีการร้องขอ ผู้ที่อ่านตั๋วของคุณสามารถขอฟิลด์เพิ่มได้ แต่ไม่สามารถทำให้คีย์ที่วางไว้มองไม่เห็นได้

มีทางสายกลางที่ควรรู้: สรุปก็อาจละเอียดอ่อนได้ อัตลักษณ์ ที่อยู่ของคู่ค้า และชื่อ child SA อธิบายโครงสร้างของคุณ และในบางองค์กรสิ่งนั้นเองก็เป็นข้อมูลจำกัด ตัดสินใจว่าใครคือผู้ชมก่อนวาง และเลือกช่องทางที่มีการควบคุมการเข้าถึงที่เหมาะสมมากกว่าปัญหาสาธารณะ คำสั่งที่ปลอดภัยไม่เหมือนกับปลายทางที่ปลอดภัย

การตรวจสอบ 4: เชื่อมโยงความพยายามหนึ่งครั้งที่ทั้งสองปลาย

บันทึกไคลเอนต์และเกตเวย์สำหรับความพยายามเชื่อมต่อเดียวกันในเวลาเดียวกัน และตรวจสอบให้แน่ใจว่าสมาคมที่คุณอธิบายคือสิ่งที่ความพยายามนั้นสร้างขึ้น การผสม child SA เก่าจากความพยายามก่อนหน้ากับภาพเส้นทางใหม่ทำให้ได้รายงานที่สอดคล้องภายในแต่ทำให้เข้าใจผิดอย่างสิ้นเชิง

ระบุสมาคมด้วยตัวระบุเฉพาะไม่ใช่ด้วยอุโมงค์ และบันทึกทิศทางของความล้มเหลว หากอาการคือไม่มีทราฟฟิกในทิศทางหนึ่ง บอกว่าเป็นทิศทางใดและเพิ่มปลายทางทดสอบที่ไม่เป็นอันตราย เพื่อให้ผู้อ่านใช้เหตุผลเกี่ยวกับเส้นทางแทนการเดา ตัวนับที่เป็นศูนย์ในทิศทางหนึ่งและเพิ่มขึ้นในอีกทิศทางหนึ่ง ระบุตำแหน่งปัญหาได้ดีกว่าดัมป์คีย์ใด ๆ เก็บเวลาที่บันทึกไว้ในเขตเวลาหนึ่งและบอกว่าเขตใด

การตรวจสอบ 5: ควรทำอย่างไรหากวัสดุถูกเปิดเผยแล้ว

การลบไฟล์แนบไม่ได้พิสูจน์ว่าไม่มีใครเก็บไว้ และการวางสาธารณะถูกคัดลอกอย่างรวดเร็ว

ปฏิบัติต่อสิ่งนั้นเป็นเหตุการณ์และใช้กระบวนการเปลี่ยนของผู้ดูแล: หมุนคีย์หรือข้อมูลรับรองที่ได้รับผลกระทบ ตรวจสอบว่าการเปิดเผยบ่งชี้ถึงการถูกบุกรุกที่กว้างกว่า และทำตามช่องทางการแจ้งเตือนที่ใช้บังคับ การทำความสะอาดทางเทคนิคเป็นส่วนที่ง่าย ส่วนสมมติฐานที่ว่าไม่มีใครอ่านเป็นส่วนที่ยาก

แนวปฏิบัติที่ยั่งยืนคือแม่แบบเล็ก ๆ ที่คุณกรอกก่อนวาง: ปลายใด ตัวระบุสมาคมใด ทิศทางใด ตัวนับใด และสิ่งใดถูกตัดออกแล้ว เอกสารของ swanctl list-sas อธิบายฟิลด์ของสรุป และนั่นคือสิ่งที่ตั๋วส่วนใหญ่ต้องการจริง ๆ ส่วนที่เหลือพร้อมให้ตามคำขอสำหรับผู้ที่ต้องการ รายงานการวินิจฉัยควรมีหลักฐาน ไม่ใช่สิทธิ์เข้าถึง