Kalitdan oldin har bir katalogdagi qidiruv ruxsati

0600 rejimi va to'g'ri egasi xizmat kalitni ocha olishiga kafolat bermaydi. Yetishmayotgan ruxsat odatda uning ustidagi katalogda bo'ladi. Linux yo'lni bir vaqtning o'zida bitta komponent bo'yicha hal qiladi va har bir qadam keyingi urinishdan oldin qidiruv ruxsatini talab qiladi. Butun yo'lni o'qing, ro'yxatning oxirgi satrini emas.

O'qish ruxsati oxirgi qadam, yagona emas

Faylni ochish uchun yadro ildiz yoki ish katalogidan yo'lning har bir komponenti orqali o'tishi kerak. Qidiruv ruxsati bo'lmagan katalog bu yurishni ruxsat xatosi bilan to'xtatadi. Faylning o'z rejimi hech qachon ko'rib chiqilmaydi, shuning uchun to'liq o'qiladigan kalit o'qilmaydigandek ko'rinadi. Xato ko'pincha ochish paytida katalog nomini aytmasdan keladi, shuning uchun oxirgi fayl ayblanadi.

Katalog uchun ijro biti qidiruvni bildiradi, tarkibni ijro etishni emas. Kalit ma'lumot bo'lib qoladi va bu tuzatishning hech bir qismi uni bajariladigan deb belgilashni talab qilmaydi.

Yo'lni xizmat hisobi sifatida bosib o'ting

Har bir komponentni egasi va rejimi bilan sanab chiqing, so'ngra o'qishni xizmatning haqiqiy shaxsi sifatida takrorlang. Sizning qobiqingiz bilan demon orasidagi farq ko'pincha butun javobdir. Ramziy havolalarni haqiqiy nishonga qadar kuzatib boring, chunki tekshiriladigan narsa hal qilingan yo'l.

namei -l /etc/openvpn/client/office.key
sudo -u vpn-reader stat -c '%A %U:%G %n' /etc/openvpn/client/office.key

Xizmat fayllarni bir necha bosqichda ham ochishi mumkin. Ba'zi material imtiyozli sozlash vaqtida o'qiladi, boshqa fayllar esa imtiyozlar tashlangandan keyin ochiladi. Faylni o'qiyotgan root qobig'i keyingi ishchining kirishini qayta tiklamaydi. O'rnatish nomlar fazosi bir xil yo'lning boshqa ko'rinishini taqdim etishi mumkin, ayniqsa konteyner ichida, shuning uchun demonning fayl tizimi ko'rinishini o'zingiz bilan solishtiring.

Mos keladigan eng tor ruxsatni o'zgartiring

Jarayonga kirish beradigan eng kichik tartibni tanlang: kerakli kataloglarda qidiruvga ega nazorat qilinadigan guruh, xizmat allaqachon egalik qiladigan boshqariladigan joy yoki boshqa hujjatlashtirilgan mexanizm. Faylni o'qish uning katalogida yozish ruxsatini talab qilmaydi. Imtiyozli konfiguratsiyaga guruhning keng yozish ruxsati odatiy yurish tuzatishi emas. Rekursiv 0777 ham yechim emas.

Qaysi komponentni va nima uchun o'zgartirganingizni yozib qo'ying. Sababi yozilmagan ruxsat o'zgarishini ko'rib chiqish qiyin va uni unutish oson.

Rejimlardan tashqariga faqat yurishdan keyin qarang

Agar rejim bitlari yetarli ko'rinsa, qolgan tekshiruvlar ACL, xavfsizlik siyosati va sandbox cheklovlari. ACL rejim bitlari yo'q deb ko'rsatadigan kirishni bera oladi yoki ular ruxsat berga o'xshaydigan kirishni rad eta oladi. Bu sozlamalar mavjud konfiguratsiya egasiga tegishli va ularni o'chirish o'rniga tor sozlash kerak. Ildiz yoki ish katalogi farqi ham bir kontekstda ishlaydigan va boshqasida muvaffaqiyatsiz bo'ladigan mutlaq yo'lni tushuntirishi mumkin.

Kirishni tuzatayotganda fayl nimaligini yoddan chiqarmang. CA sertifikati dizayn bo'yicha ommaviy, maxfiy kalit esa emas. Mijoz qayta yozadigan fayllar ham faqat o'qish uchun mo'ljallangan identifikatsiya kalitidan boshqacha yozish huquqlarini talab qiladi. Sirlarni chop etmasdan metama'lumotlarni tekshiring, so'ngra o'zgarishdan keyin xizmatning o'zi ishlashini tasdiqlang. Xizmat hujjatlaridagi qisqa eslatma keyingi odamga xuddi shu yurishni tejaydi.