کلید سے پہلے ہر ڈائریکٹری پر تلاش کی اجازت

0600 موڈ اور درست مالک اس بات کی ضمانت نہیں دیتے کہ سروس کلید کھول سکے گی۔ غائب اجازت عام طور پر اس کے اوپر والی ڈائریکٹری پر ہوتی ہے۔ لینکس راستے کو ایک وقت میں ایک جزو کے طور پر حل کرتا ہے، اور ہر قدم کو اگلی کوشش سے پہلے تلاش کی اجازت چاہیے۔ پورا راستہ پڑھیں، فہرست کی آخری سطر نہیں۔

پڑھنے کی اجازت آخری قدم ہے، واحد نہیں

فائل کھولنے کے لیے کرنل کو جڑ یا کام کی ڈائریکٹری سے راستے کے ہر جزو سے گزرنا ہوتا ہے۔ تلاش کی اجازت کے بغیر ڈائریکٹری اس سفر کو اجازت کی خرابی کے ساتھ روک دیتی ہے۔ فائل کا اپنا موڈ کبھی نہیں دیکھا جاتا، اس لیے مکمل طور پر پڑھی جانے والی کلید ناقابلِ مطالعہ لگتی ہے۔ خرابی اکثر کھولتے وقت ڈائریکٹری کا نام لیے بغیر آتی ہے، اسی لیے آخری فائل کو قصوروار ٹھہرایا جاتا ہے۔

ڈائریکٹری کے لیے، ایگزیکیوٹ بٹ کا مطلب تلاش ہے، مواد چلانا نہیں۔ کلید ڈیٹا ہی رہتی ہے، اور اس مرمت کا کوئی حصہ اسے قابلِ عمل کے طور پر نشان زد کرنے کا تقاضا نہیں کرتا۔

سروس اکاؤنٹ کے طور پر راستہ چلیں

ہر جزو کو اس کے مالک اور موڈ کے ساتھ فہرست کریں، پھر پڑھائی کو سروس کی حقیقی شناخت کے طور پر دہرائیں۔ آپ کے شیل اور ڈیمان کے درمیان فرق اکثر پورا جواب ہوتا ہے۔ علامتی روابط کو اصل ہدف تک فالو کریں، کیونکہ حل شدہ راستہ ہی جانچا جاتا ہے۔

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

سروس فائلیں ایک سے زیادہ مرحلوں میں بھی کھول سکتی ہے۔ کچھ مواد مراعات یافتہ سیٹ اپ کے دوران پڑھا جاتا ہے، جبکہ دیگر فائلیں مراعات چھوڑنے کے بعد کھولی جاتی ہیں۔ فائل پڑھنے والا روٹ شیل بعد کے کارکن کی رسائی کو دوبارہ پیدا نہیں کرتا۔ ماؤنٹ نام کی جگہ اسی راستے کا مختلف منظر پیش کر سکتی ہے، خاص طور پر کنٹینر کے اندر، اس لیے ڈیمان کے فائل سسٹم کے منظر کا اپنے سے موازنہ کریں۔

جو سب سے تنگ اجازت موزوں ہو اسے بدلیں

عمل کو رسائی دینے والا سب سے چھوٹا انتظام چنیں: مطلوبہ ڈائریکٹریوں پر تلاش والا کنٹرول شدہ گروپ، سروس کے پاس پہلے سے موجود منظم مقام، یا کوئی اور دستاویزی طریقہ۔ فائل پڑھنے کے لیے اس کی ڈائریکٹری پر لکھنے کی اجازت درکار نہیں۔ مراعات یافتہ ترتیب پر وسیع گروپ-تحریر کی اجازت عام راستہ مرمت نہیں ہے۔ دہرایا جانے والا 0777 بھی حل نہیں ہے۔

لکھیں کہ کون سا جزو بدلا اور کیوں۔ وجہ درج کیے بغیر اجازت کی تبدیلی کا جائزہ لینا مشکل اور اسے بھولنا آسان ہے۔

چلنے کے بعد ہی موڈز سے آگے دیکھیں

اگر موڈ بٹس کافی لگیں، تو باقی جانچیں ACL، سیکیورٹی پالیسی اور سینڈ باکس کی پابندیاں ہیں۔ ACL ایسی رسائی دے سکتا ہے جسے موڈ بٹس غائب بتاتے ہیں، یا ایسی رسائی سے انکار کر سکتا ہے جو وہ اجازت دیتے دکھتے ہیں۔ وہ ترتیبات موجودہ کنفیگریشن کے مالک کی ہیں، اور انہیں بند کرنے کے بجائے تنگ طور پر ایڈجسٹ کرنا چاہیے۔ جڑ یا کام کی ڈائریکٹری کا فرق بھی ایسے مطلق راستے کی وضاحت کر سکتا ہے جو ایک سیاق میں کام کرے اور دوسرے میں ناکام ہو۔

رسائی درست کرتے وقت یہ نہ بھولیں کہ فائل کیا ہے۔ CA سرٹیفکیٹ ڈیزائن کے اعتبار سے عوامی ہے؛ نجی کلید نہیں۔ کلائنٹ جو فائلیں دوبارہ لکھتا ہے انہیں بھی صرف-پڑھنے والی شناختی کلید سے مختلف تحریری حقوق چاہئیں۔ راز چھاپے بغیر میٹاڈیٹا جانچیں، پھر تصدیق کریں کہ تبدیلی کے بعد سروس خود کام کرتی ہے۔ سروس دستاویزات میں مختصر نوٹ اگلے شخص کو وہی چلنا بچاتا ہے۔