VPN kalitingiz hamma o'qiy oladi: nimani tuzatish kerak

Birinchi belgi odatda nosozlik emas, ogohlantirish. Mijoz kalitni yuklashdan bosh tortadi, chunki fayl guruh yoki hamma uchun o'qiladi, yoki xavfsizlik tekshiruvi client.key faylini eksport qilingan paketlar ham bor profil katalogida 644 rejimida topadi. Hali hech narsa buzilmagan va aynan shuning uchun ogohlantirish e'tiborsiz qoldiriladi. Kalit ishlaydi, tunnel ko'tariladi va fayl mashinadagi har bir hisob uchun o'qiladi.

Alomat ruxsat ogohlantirishi, uzilish emas

Unix-ga o'xshash tizimda shaxsiy kalit faqat xizmatni ishga tushiruvchi hisob uchun o'qilishi kerak. To'g'ri egasi bilan 600 rejimi odatiy tartib. 644 rejimi har bir mahalliy foydalanuvchi kalitni nusxalashi mumkinligini bildiradi va umumiy build xostida bu haqiqiy auditoriya.

Buni tekshiruvchi mijozlar sizga yaxshilik qiladi. Tekshirmaydiganlar fayl xavfsizligiga dalil emas va muvaffaqiyatli ulanish uni mumkin qilgan materialni yana kim o'qiy olishi haqida hech narsa demaydi. Ogohlantirishni to'liq topilma deb qabul qiling. U aniq va birov faylni nusxalashidan oldin kelgan.

Rejimni xizmat shaxsiyatiga moslashtiring

Faqat egasining kirishi shu egasi ishlatadigan kalitga mos keladi. Ataylab umumiy guruhga ega xizmat boshqa nazorat qilinadigan tartibni talab qilishi mumkin, masalan xizmat hisobiga tegishli kalitda guruh o'qishi. Har bir faylni ko'r-ko'rona bitta raqamli rejimga qo'yish qo'llab-quvvatlanadigan mijozlarni buzadi va chmod -R 777 hech narsaning yechimi emas.

Biror narsani o'zgartirishdan oldin egasini va xizmat hisobini tekshiring. Ommaviy CA sertifikatlari va shaxsiy identifikatsiya kalitlari bir katalogda bo'lsa ham turli maxfiylik talablariga ega, shuning uchun butun jildga qo'llaniladigan rekursiv rejim ikkalasini bir obyekt deb ko'radi.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Boshqa platformalarda Unix rejimlarini taxminga tarjima qilish o'rniga hujjatlashtirilgan kalit ombori yoki kirishni boshqarish modelidan foydalaning. private bilan tugaydigan fayl nomi yorliq, ijro mexanizmi emas.

Rejim qamramagan nusxalarni toping

Tahrirlovchilar, zaxira arxivlari, eksport qilingan profillar va vaqtinchalik paketlar har biri bir xil shaxsiyatni saqlashi mumkin. O'sha nusxalarni mazmuniga ko'ra himoya qiling, chunki asl faylni qattiqlashtirish o'tgan oyning tar arxividagi nusxaga hech narsa qilmaydi.

Kalit faylidagi parol iborasi saqlangan material uchun foydali va shifrlangan faylni paroli yonida chop etishni oqlamaydi. Ruxsatlar joriy fayl tizimi obyektini himoya qiladi; ular boshqa joyga allaqachon nusxalangan hisob ma'lumotlari haqida hech narsa demaydi.

Ishni tugagan deb e'lon qilishdan oldin nusxalarni qidiring: grep -rl ehtimoliy kataloglarda kalitning sarlavha satri va zaxira istisnolariga bir nazar. Natija odatda siz boshlagan fayldan qiziqarliroq bo'ladi.

Tuzatishdan keyin tekshiring va almashtiring

Mo'ljallangan xizmat hali ham autentifikatsiya qilishini sinab ko'ring, so'ng keraksiz hech bir hisob kirish olmaganini tasdiqlang. Diagnostika chiqishini metama'lumotlar bilan cheklang, chunki faylning o'qilishini isbotlash uchun kalitni chop etish shart emas va u materialni jurnalga soladi.

Agar kalit oshkor bo'lgan bo'lsa, rejimni qattiqlashtiring, so'ng hisob ma'lumotlarini almashtiring va eskisini bekor qiling. POSIX chmod spetsifikatsiyasi har bir rejim bitining ma'nosini tushuntiradi, buni keyingi tekshiruv tanlagan raqamingizni asoslashni talab qilishidan oldin bilish foydali.