Pahintulot sa paghahanap sa bawat direktoryo bago ang susi

Hindi ginagarantiya ng mode 0600 at tamang may-ari na mabubuksan ng serbisyo ang isang susi. Karaniwang nasa direktoryong nasa itaas ang kulang na pahintulot. Hinahati ng Linux ang landas nang isang bahagi sa isang pagkakataon, at bawat hakbang ay nangangailangan ng pahintulot sa paghahanap bago subukan ang susunod. Basahin ang buong landas, hindi ang huling linya ng listahan.

Ang pahintulot sa pagbasa ay huling hakbang, hindi lamang isa

Ang pagbukas ng file ay nangangailangan na dumaan ang kernel mula sa ugat o sa direktoryo ng trabaho sa bawat bahagi ng landas. Ang direktoryong walang pahintulot sa paghahanap ay hihinto sa paglalakbay na iyon na may error sa pahintulot. Hindi kailanman sinusuri ang mode ng file mismo, kaya mukhang hindi mababasa ang isang ganap na nababasang susi. Madalas dumarating ang error sa pagbukas nang hindi pinangalanan ang direktoryo, kaya ang huling file ang sinisisi.

Para sa direktoryo, ang bit ng pagpapatupad ay nangangahulugang paghahanap, hindi pagpapatupad ng nilalaman. Nananatiling datos ang susi, at wala sa bahagi ng pag-aayos na ito ang nangangailangang markahan ito bilang naipapatupad.

Lakbayin ang landas bilang service account

Ilista ang bawat bahagi kasama ang may-ari at mode nito, pagkatapos ay ulitin ang pagbasa bilang tunay na pagkakakilanlan ng serbisyo. Ang pagkakaiba ng iyong shell at ng daemon ay kadalasang buong sagot. Sundin ang mga simbolikong link hanggang sa tunay na target, dahil ang naresolbang landas ang sinusuri.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Maaari ring magbukas ng mga file ang serbisyo sa higit sa isang yugto. Ang ilang materyal ay binabasa habang naka-privilege ang setup, habang ang iba pang file ay binubuksan pagkatapos ibaba ang mga pribilehiyo. Ang root shell na nagbabasa ng file ay hindi naglalarawan ng pag-access ng huling manggagawa. Ang mount namespace ay maaaring magpakita ng ibang tanawin ng parehong landas, lalo na sa loob ng container, kaya ihambing ang tanawin ng filesystem ng daemon sa iyo.

Baguhin ang pinakamakitid na pahintulot na bagay

Piliin ang pinakamaliit na kaayusan na nagbibigay ng pag-access sa proseso: isang kontroladong grupo na may paghahanap sa mga kinakailangang direktoryo, isang pinamamahalaang lokasyon na pag-aari na ng serbisyo, o iba pang dokumentadong mekanismo. Ang pagbasa ng file ay hindi nangangailangan ng pahintulot sa pagsulat sa direktoryo nito. Ang malawak na pahintulot sa pagsulat ng grupo sa naka-privilege na configuration ay hindi normal na pag-aayos ng pagdaan. Ang recursive na 0777 ay hindi rin solusyon.

Itala kung aling bahagi ang binago mo at bakit. Ang pagbabago ng pahintulot na walang nakatalang dahilan ay mahirap suriin at madaling makalimutan.

Tumingin pa sa kabila ng mga mode pagkatapos lamang ng paglalakbay

Kung sapat ang mga bit ng mode, ang natitirang pagsusuri ay ACL, patakaran sa seguridad at mga paghihigpit ng sandbox. Ang isang ACL ay maaaring magbigay ng pag-access na sinasabi ng mga bit ng mode na wala, o tumanggi sa pag-access na tila pinapayagan nila. Ang mga setting na iyon ay pag-aari ng kasalukuyang may-ari ng configuration, at dapat ayusin nang makitid sa halip na patayin. Ang pagkakaiba ng ugat o direktoryo ng trabaho ay maaari ring ipaliwanag ang isang ganap na landas na gumagana sa isang konteksto at nabigo sa iba.

Huwag kalimutan kung ano ang file habang inaayos ang pag-access. Ang sertipiko ng CA ay pampubliko ayon sa disenyo; ang pribadong susi ay hindi. Ang mga file na muling isinusulat ng kliyente ay nangangailangan din ng ibang mga karapatan sa pagsulat kaysa sa susi ng pagkakakilanlan na basahin-lamang. Suriin ang metadata nang hindi naglilimbag ng mga lihim, pagkatapos ay kumpirmahin na gumagana ang serbisyo mismo pagkatapos ng pagbabago. Ang maikling tala sa dokumentasyon ng serbisyo ay nakakatipid sa susunod na tao ng parehong paglalakbay.