آپ کی VPN کلید ہر ایک کے لیے پڑھنے کے قابل ہے: کیا درست کریں

پہلا اشارہ عام طور پر انتباہ ہوتا ہے، خرابی نہیں۔ کوئی کلائنٹ کلید لوڈ کرنے سے انکار کرتا ہے کیونکہ فائل گروپ یا سب کے لیے پڑھنے کے قابل ہے، یا سیکیورٹی جائزے میں client.key ایسی پروفائل ڈائریکٹری میں 644 موڈ پر ملتا ہے جس میں برآمد شدہ بنڈل بھی ہیں۔ ابھی کچھ ناکام نہیں ہوا، اور اسی لیے انتباہ کو نظر انداز کر دیا جاتا ہے۔ کلید کام کرتی ہے، ٹنل اوپر آتا ہے، اور فائل مشین کے ہر اکاؤنٹ کے لیے پڑھنے کے قابل ہے۔

علامت اجازت کا انتباہ ہے، بندش نہیں

یونکس جیسے نظام میں نجی کلید صرف اس اکاؤنٹ کے لیے پڑھنے کے قابل ہونی چاہیے جو سروس چلاتا ہے۔ درست مالک کے ساتھ 600 موڈ عام انتظام ہے۔ 644 موڈ کا مطلب ہے کہ ہر مقامی صارف کلید کی نقل کر سکتا ہے، اور مشترکہ بلڈ ہوسٹ پر یہ حقیقی سامعین ہیں۔

جو کلائنٹ اس کی جانچ کرتے ہیں وہ آپ پر احسان کرتے ہیں۔ جو نہیں کرتے وہ فائل کے محفوظ ہونے کا ثبوت نہیں، اور کامیاب کنکشن اس بارے میں کچھ نہیں کہتا کہ اور کون اس مواد کو پڑھ سکتا ہے جس نے اسے ممکن بنایا۔ انتباہ کو پوری دریافت سمجھیں۔ یہ درست ہے، اور یہ کسی کے فائل کی نقل کرنے سے پہلے آیا۔

موڈ کو سروس کی شناخت سے ہم آہنگ کریں

صرف مالک کی رسائی اس کلید کے لیے موزوں ہے جو وہی مالک استعمال کرتا ہے۔ جان بوجھ کر مشترکہ گروپ والی سروس کو دوسرا کنٹرول شدہ انتظام درکار ہو سکتا ہے، جیسے سروس اکاؤنٹ کی ملکیت والی کلید پر گروپ پڑھائی۔ ہر فائل کو آنکھ بند کر کے ایک ہی عددی موڈ پر رکھنا معاون کلائنٹ توڑ دیتا ہے، اور chmod -R 777 کسی چیز کا حل نہیں۔

کچھ بھی بدلنے سے پہلے مالک اور سروس اکاؤنٹ کی جانچ کریں۔ عوامی CA سرٹیفکیٹ اور نجی شناختی کلیدیں ایک ہی ڈائریکٹری میں ہونے پر بھی مختلف رازداری کی ضروریات رکھتی ہیں، اس لیے پورے فولڈر پر لاگو تکرار والا موڈ دونوں کو ایک ہی شے سمجھتا ہے۔

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

دوسرے پلیٹ فارمز پر یونکس موڈز کو اندازے میں ترجمہ کرنے کے بجائے دستاویزی کلید ذخیرہ یا رسائی کنٹرول ماڈل استعمال کریں۔ private پر ختم ہونے والا فائل نام لیبل ہے، نفاذ کا طریقہ نہیں۔

وہ نقول تلاش کریں جو موڈ میں شامل نہیں

ایڈیٹرز، بیک اپ آرکائیوز، برآمد شدہ پروفائلز اور عارضی بنڈل ہر ایک وہی شناخت رکھ سکتے ہیں۔ ان نقول کو ان کے مواد کے مطابق محفوظ رکھیں، کیونکہ اصل فائل کو سخت کرنا پچھلے مہینے کے ٹار میں موجود نقل کے لیے کچھ نہیں کرتا۔

کلید فائل پر پاس فریز محفوظ مواد کے لیے مفید ہے اور خفیہ کردہ فائل کو اس کے پاس ورڈ کے ساتھ شائع کرنے کا جواز نہیں بنتی۔ اجازتیں موجودہ فائل سسٹم شے کی حفاظت کرتی ہیں؛ وہ کسی اور جگہ پہلے سے نقل شدہ اسناد کے بارے میں کچھ نہیں کہتیں۔

کام مکمل قرار دینے سے پہلے نقول تلاش کریں: grep -rl ممکنہ ڈائریکٹریوں میں کلید کی ہیڈر لائن، اور بیک اپ استثنات پر ایک نظر۔ نتیجہ عام طور پر اس فائل سے زیادہ دلچسپ ہوتا ہے جس سے آپ نے شروع کیا۔

درستگی کے بعد، توثیق کریں اور بدلیں

جانچیں کہ مطلوبہ سروس اب بھی توثیق کرتی ہے، پھر تصدیق کریں کہ کسی غیر ضروری اکاؤنٹ کو رسائی نہیں ملی۔ تشخیصی آؤٹ پٹ کو میٹاڈیٹا تک محدود رکھیں، کیونکہ فائل کے پڑھنے کے قابل ہونے کو ثابت کرنے کے لیے کلید چھاپنا ضروری نہیں اور یہ مواد کو لاگ میں ڈال دیتا ہے۔

اگر کلید بے نقاب ہوئی ہو، تو موڈ سخت کریں، پھر اسناد بدلیں اور پرانی کو منسوخ کریں۔ POSIX chmod تفصیل بتاتی ہے کہ ہر موڈ بٹ کا کیا مطلب ہے، جو اگلے جائزے کے آپ سے منتخب عدد کا جواز طلب کرنے سے پہلے جاننا مفید ہے۔