VPN anahtarınız herkes tarafından okunabiliyor: ne düzeltilmeli

İlk belirti genellikle bir kesinti değil, uyarıdır. Bir istemci, dosya grup veya herkes tarafından okunabildiği için anahtarı yüklemeyi reddeder ya da bir güvenlik incelemesi, dışa aktarılmış paketlerin de bulunduğu bir profil dizininde client.key dosyasını 644 modunda bulur. Henüz hiçbir şey bozulmamıştır ve uyarının göz ardı edilmesinin nedeni tam da budur. Anahtar çalışır, tünel açılır ve dosya makinedeki her hesap tarafından okunabilir.

Belirti bir izin uyarısıdır, kesinti değil

Unix benzeri bir sistemde özel anahtar yalnızca hizmeti çalıştıran hesap tarafından okunabilmelidir. Doğru sahibiyle 600 modu olağan düzendir. 644 modu, her yerel kullanıcının anahtarı kopyalayabileceği anlamına gelir ve paylaşılan bir derleme sunucusunda bu gerçek bir kitle demektir.

Bunu denetleyen istemciler size iyilik yapar. Denetlemeyenler dosyanın güvenli olduğunun kanıtı değildir ve başarılı bir bağlantı, onu mümkün kılan malzemeyi başka kimin okuyabileceği hakkında hiçbir şey söylemez. Uyarıyı bulgunun tamamı olarak ele alın. Doğrudur ve biri dosyayı kopyalamadan önce gelmiştir.

Modu hizmetin kimliğine uygun hale getirin

Yalnızca sahibinin erişimi, o sahibin kullandığı anahtara uygundur. Bilinçli olarak paylaşılan grubu olan bir hizmet farklı bir denetimli düzene ihtiyaç duyabilir; örneğin bir hizmet hesabına ait anahtarda grup okuması. Her dosyayı körü körüne tek bir sayısal moda koymak desteklenen istemcileri bozar ve chmod -R 777 hiçbir şeyin çözümü değildir.

Herhangi bir şeyi değiştirmeden önce sahibini ve hizmet hesabını denetleyin. Genel CA sertifikaları ve özel kimlik anahtarları aynı dizinde olsalar bile farklı gizlilik gereksinimlerine sahiptir, bu nedenle tüm klasöre uygulanan özyinelemeli bir mod ikisini de aynı nesne olarak ele alır.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Diğer platformlarda Unix modlarını bir tahmine çevirmek yerine belgelenmiş anahtar deposunu veya erişim denetimi modelini kullanın. private ile biten bir dosya adı bir etikettir, uygulama mekanizması değildir.

Modun kapsamadığı kopyaları bulun

Düzenleyiciler, yedek arşivleri, dışa aktarılmış profiller ve geçici paketler her biri aynı kimliği koruyabilir. Bu kopyaları içeriklerine göre koruyun, çünkü asıl dosyayı sıkılaştırmak geçen ayın tar arşivindeki kopya için hiçbir şey yapmaz.

Bir anahtar dosyasındaki parola ifadesi saklanan malzeme için yararlıdır ve şifrelenmiş dosyayı parolasının yanında yayımlamayı haklı çıkarmaz. İzinler geçerli dosya sistemi nesnesini korur; başka bir yere kopyalanmış bir kimlik bilgisi hakkında hiçbir şey söylemezler.

İşi bitmiş ilan etmeden önce kopyaları arayın: grep -rl olası dizinlerde anahtarın başlık satırı ve yedekleme dışlamalarına bir bakış. Sonuç genellikle başladığınız dosyadan daha ilginçtir.

Düzeltmeden sonra doğrulayın ve değiştirin

Amaçlanan hizmetin hâlâ kimlik doğruladığını test edin, ardından gereksiz hiçbir hesabın erişim kazanmadığını doğrulayın. Tanılama çıktısını meta verilerle sınırlayın, çünkü dosyanın okunabildiğini kanıtlamak için anahtarı yazdırmak gerekmez ve malzemeyi bir günlüğe koyar.

Anahtar açığa çıktıysa modu sıkılaştırın, ardından kimlik bilgisini değiştirin ve eskisini iptal edin. POSIX chmod belirtimi her mod bitinin ne anlama geldiğini açıklar; bunu bir sonraki inceleme seçtiğiniz sayıyı gerekçelendirmenizi istemeden önce bilmekte yarar var.