IPsec durumunu anahtarlarını yayımlamadan nasıl denetlersiniz

Bir IPsec durum dökümü durum raporu değildir ve ona böyle davranmak, anahtar malzemesinin kamuya açık bir sorun izleyicisine düşmesinin tam da yoludur. Bazı çekirdek denetim çıktıları, çekirdeğin kullandığı trafik anahtarlarını gerçekten yararlı adresler, seçiciler ve sayaçlarla birlikte içerir. Güvenli alışkanlık, önce özeti toplamak ve ham duruma yalnızca özet soruyu yanıtlayamadığında başvurmaktır. Ham duruma yine de bakmanız gerekiyorsa yerel olarak bakın ve daha dar bir şey paylaşın.

Denetim 1: bu artefakt makineden hiç çıkabilir mi

Bir yapılandırma dosyası, özel bir anahtar, sınırsız paket yakalama ve ham durum dökümü, aksi kanıtlanana kadar hepsi sırdır. Anahtar yazdıran bir komut, onu tanılama için çalıştırdığınız için güvenli olmaz.

Kural tek cümleyle söylenecek kadar basit: soruyu yanıtlayan gözlemi paylaşın, onu üreten makine durumunu değil.

Denetim 2: durum dökümünü değil, özet komutunu seçin

strongSwan için swanctl --list-sas birliğin özetini gösterir: kimlikler, kurulu alt SA'lar, durumlar ve sayaçlar. Ham anahtar dökümünü gerektirmez ve bir bilete ilk yapıştırılacak şeydir. Çekirdek tarafında iproute2, bu seçeneği belgeleyen sürümlerde ip xfrm state list nokeys komutunu destekler; bu, birlik alanlarını korurken anahtar malzemesini bastırır.

Güvenmeden önce sözdizimini yerel kılavuzda doğrulayın, çünkü seçenek her sürümde yoktur ve o olmadan genel bir durum listesi farklı çıktısı olan farklı bir komuttur. Eski bir derlemede ip xfrm state çalıştırıp bayrağın olup olmadığına bakmak, bu kontrol listesinin konusu olan hatanın tam kendisidir.

Denetim 3: yalnızca soruşturmanın ihtiyaç duyduğunu kaydedin

Birlik durumu, algoritmalar, seçiciler, zaman damgaları, yön ve ilgili sayaçlar genellikle yeterlidir. Hesap kimlikleri, genel adresler ve iç topoloji çoğu zaman değildir ve tanılama değeri kaybedilmeden gizlenebilir.

Varsayılan olarak gizleyin ve istendiğinde geri ekleyin. Biletinizi okuyan kişi bir alan daha isteyebilir; ancak yapıştırılmış bir anahtarı görmemiş gibi yapamaz.

Bilmesi gereken bir orta yol var: bir özet de hassas olabilir. Kimlikler, eş adresleri ve alt SA adları topolojinizi tanımlar ve bazı kuruluşlarda bu kendi başına kısıtlı bilgidir. Yapıştırmadan önce hedef kitlenin kim olduğuna karar verin ve kamuya açık bir sorun yerine doğru erişim denetimi olan bir kanalı tercih edin. Güvenli bir komut, güvenli bir hedefle aynı şey değildir.

Denetim 4: bir denemeyi iki uçta ilişkilendirin

Aynı bağlantı denemesi için istemciyi ve ağ geçidini aynı anda yakalayın ve tanımladığınız birliğin o denemenin ürettiği birlik olduğundan emin olun. Önceki bir denemeden kalan eski bir alt SA'yı taze bir rota anlık görüntüsüyle karıştırmak, iç tutarlı ama tamamen yanıltıcı bir rapor üretir.

Birliği tünelden değil, benzersiz tanımlayıcılarından tanımlayın ve arızanın yönünü not edin. Belirti bir yönde trafik olmamasıysa hangi yön olduğunu söyleyin ve zararsız bir test hedefi ekleyin; böylece okuyucu tahmin etmek yerine yol hakkında akıl yürütebilir. Bir yönde sıfır olan ve diğer yönde artan bir sayaç sorunu herhangi bir anahtar dökümünden çok daha iyi konumlandırır. Zaman damgalarını tek bir saat diliminde tutun ve hangisi olduğunu söyleyin.

Denetim 5: malzeme zaten açığa çıktıysa ne yapmalı

Eki silmek kimsenin onu saklamadığını kanıtlamaz ve herkese açık bir yapıştırma hızla kopyalanır.

Bunu bir olay olarak ele alın ve operatörün değiştirme sürecini kullanın: etkilenen anahtarları veya kimlik bilgilerini döndürün, açığa çıkmanın daha geniş bir ihlal anlamına gelip gelmediğini kontrol edin ve geçerli bildirim yolunu izleyin. Teknik temizlik kolay kısımdır; kimsenin okumadığı varsayımı zor kısımdır.

Kalıcı uygulama, yapıştırmadan önce doldurduğunuz küçük bir şablondur: hangi uç, hangi birlik tanımlayıcısı, hangi yön, hangi sayaç ve neyin zaten dışlandığı. swanctl list-sas belgeleri özet alanlarını açıklar ve çoğu biletin gerçekten ihtiyaç duyduğu şey budur. Geri kalan her şey ihtiyaç duyan için istek üzerine erişilebilir. Tanılama raporu kanıt içermelidir, erişim değil.