Om 'n VPN-ouditverslag te lees: omvang bo die kenteken

Kentekens is goedkoop om te wys en duur om te vertolk. 'n Gepubliseerde ouditverslag is 'n afgebakende stuk ingenieurs werk: 'n genoemde beoordelaar het genoemde komponente ondersoek, by 'n genoemde weergawe, met 'n vermelde metode en 'n tydbegroting. Daardie vier feite bepaal wat die gevolgtrekking kan ondersteun, en hulle staan gewoonlik op die eerste paar bladsye eerder as in die bemarkingopsomming. Om hulle te lees neem tien minute en voorkom die algemene fout om 'n bevinding oor 'n kliëntprogram na 'n hele diens uit te brei.

Wat die omvangafdeling werklik begrens

'n Omvangverklaring is 'n heining, en alles daarbuite is onbeantwoord eerder as geslaag. Verslae lys die komponente wat ondersoek is, die commit-reeks of bou-identifiseerder, die omgewing wat gebruik is en die interaksiemodel wat toegelaat is. 'n Lessenaarkliënt, 'n mobiele app, die bedienerkode, die rekening-agterkant en die produksie-infrastruktuur is vyf verskillende onderwerpe, en 'n opdrag kan enige deelversameling daarvan dek.

Uitsluitings maak net soveel saak as insluitings, want hulle word doelbewus genoem en onverskillig gelees. 'n Rekeningstelsel wat as buite omvang beskryf word, word nie geïmpliseer as veilig nie, en 'n mobiele app wat uit 'n opdrag gelaat word, is bloot onondersoek. Merk elke ongetoetste komponent in jou eie notas as onbekend, en weerstaan die drang om die leemte met reputasie te vul.

Twee soorte toetse beantwoord verskillende vrae

Bronoorsig en looptydtoetsing soek verskillende foute. 'n Beoordelaar wat kode lees, kan 'n sleutelafleiding volg, 'n ontbrekende lengtekontrole raaksien en oor 'n hele ontleder redeneer sonder om dit uit te voer. 'n Toetser teen 'n lopende diens ontdek wat die ontplooide bou werklik doen: 'n sertifikaat wat die app weier, 'n terugvalprotokol wat steeds aktief is, 'n eindpunt wat 'n weergawebanner lek deur konfigurasie wat niemand nagegaan het nie.

Nie een vervang die ander nie, en 'n verslag noem gewoonlik watter een uitgevoer is. Wanneer 'n opsomming "geouditeer" sê sonder daardie onderskeid, lê die dubbelsinnigheid in die opsomming, nie in die verslag nie.

Toegangsbeperkings doen dieselfde werk. 'n Swartboks-opdrag kan nie die bedienerkonfigurasie sien nie, en 'n argitektuurhersiening wat nooit 'n ontplooide eindpunt aanraak nie, kan nie opmerk dat produksie van die diagram verskil nie. Albei is wettig; om hul resultate te verwar, is nie.

Hoe 'n bevinding 'n reggestelde weergawe word

Die waardevolle helfte van 'n verslag is die herstellingstabel: elke bevinding, sy erns onder die beoordelaar se metode, die operateur se reaksie en die hertoetsresultaat. Ernsgetalle kom uit 'n gekose metodologie eerder as uit die natuur, so vergelyk erns binne een verslag eerder as tussen twee met verskillende skale.

Verbind dan die regstelling met vrygestelde sagteware. 'n Reggestelde bevinding maak eers vir 'n gebruiker saak wanneer die weergawe wat die regstelling dra, die een is wat geïnstalleer is, en daarom moet 'n verslag se bou-identifiseerder en 'n vrystellingsveranderingslys saam gelees word. 'n Hertoets wat die regstelling gedek het, sluit die lus; 'n ongetoetste regstelling is 'n bewering. So ook 'n regstelling wat net in 'n tak verskeep is wat geen stabiele vrystelling ooit saamgevoeg het nie.

Wat die kenteken jou nie kan sê nie

Die afwesigheid van bevindings is nie bewys van die afwesigheid van gebreke nie. 'n Kort opdrag met 'n vaste begroting sal dinge mis, en die eerlike lesing van 'n skoon verslag is dat die beoordelaar nie die klasse probleme gevind het waarna hulle in die beskikbare tyd gesoek het nie.

Die kenteken kan ook nie vir eienskappe buite sy omvang praat nie. Bewerings oor logsgewoontes, jurisdiksie of bewaring leef in 'n beleidsdokument, nie in 'n oudit van 'n kliënttoepassing nie, en geen reputasie van die beoordelaar dra oor daardie grens nie.

Bewyse aanteken wat jy kan verdedig

Skryf die aanhaling in drie dele: die komponent, die weergawe en die geverifieerde regstelling. 'n Gepubliseerde opdrag soos die deur Mozilla opdrag gegewe VPN-oudit ondersteun presies die stellings wat sy omvang beskryf en niks wyer nie, wat nogal baie werd is wanneer die aanhaling presies is. Dieselfde verslag wat aangehaal word vir iets wat dit nooit ondersoek het nie, is minder werd as geen aanhaling nie, want dit nooi 'n vertroue uit wat niemand verdien het nie.

Waar 'n beweerde eienskap buite elke beskikbare verslag val, laat dit onopgelos in die dokument. 'n Onopgeloste reël nooi 'n opvolgvraag uit; 'n kenteken nie. Die enigste uitsondering is 'n eienskap wat 'n ander, ewe spesifieke dokument besleg, en dan verander die aanhaling eerder as die bewering.

Nog twee gewoontes maak die lees duursaam: let op die verslagdatum teenoor die vrystelling wat jy werklik gebruik, en hou die verskil tussen wat getoets is en wat jy ontplooi het. Albei verander 'n vertrouensbesluit in iets wat 'n kollega kan nagaan.