Waarom 'n oopbron-VPN in verkryging afgekeur word
'n Beoordelaar wat teen oopbron beswaar maak, beskerm gewoonlik 'n vereiste, nie 'n lisensievoorkeur nie. Vra watter een, en lewer dan die bewysstuk wat dit beantwoord.
Afkeurings wat oopbron noem, handel selde oor lisensiëring. Die beoordelaar beskerm gewoonlik 'n vereiste: dat iemand die ontplooide weergawe onderhou, dat die geïnstalleerde bou geïdentifiseer kan word, dat 'n assessering dek wat gekoppel word, of dat die verbinding onttrek kan word. Die debat wat daarop volg, beantwoord gewoonlik 'n vraag wat niemand gevra het nie.
Vra watter vereiste geld voordat jy 'n lisensie verdedig. Die antwoord bepaal watter dokument jy nodig het.
Die etiket is nie die vereiste nie
Leesbare bronkode beteken dat die gepubliseerde implementering ondersoek kan word. Dit beteken nie dat iemand dit ondersoek het nie, dat die bou op die poort die gepubliseerde een pas, of dat 'n instandhouer jou ontplooiing 'n regstelling verskuldig is nie. Elkeen van dié is 'n afsonderlike aanspraak met 'n afsonderlike eienaar, en 'n beoordelaar wat een daarvan nodig het, sal nie deur die ander bevredig word nie. Om die aanspraak hardop te noem, is gewoonlik genoeg om die gesprek te verander.
Die omgekeerde fout is net so algemeen. 'n Kommersiële lisensie bewys nie dat ondersteuning die funksie dek waarop jy staatmaak nie, dat 'n assessering die komponent ondersoek het wat jy ontplooi nie, of dat die verskaffer 'n regstelling binne jou instandhoudingsvenster sal lewer nie. Lisensiëring beskryf verspreidingsvoorwaardes, terwyl verkrygingsbesluite oor staatmaak gaan. In beide gevalle is die lisensie die minste insiggewende deel van die antwoord.
Hou ook die kliënt en die diens apart. 'n Oudit van 'n tafelrekenaar-kliënt sê niks oor die vennoot se poortopstelling, sy identiteitsverskaffer of die manier waarop sy operateurs rekeningverwydering hanteer nie. Watter bewyse jy ook al versamel, moet pas by die grens wat die vennoot gevra word om te vertrou.
Maak die bekommernis 'n bewysstuk
Vra die goedkeurder om die vereiste in een sin te stel, en noem dan die bewysstuk wat dit sou bevredig. Vae gerusstelling is wat hierdie gesprekke in 'n debat oor ideologie verander.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
Die NIST Secure Software Development Framework is hier nuttig om een eng rede: dit raam verkrygingsgesprekke rondom 'n gedeelde woordeskat van praktyke en verskafferkommunikasie. Dit ondersteun die vraag na bepaalde bewyse in plaas van 'n argument oor 'n etiket, en dit is nie 'n sertifisering wat enige spesifieke VPN slaag nie.
Let op wat die middelste kolom doen. Elke ry vra om 'n dokument wat óf bestaan óf nie, wat 'n mening omskep in 'n lewering wat iemand kan lewer of weier.
Skei die kliënt van die diens
'n Ondersteuningskontrak vir 'n kliënttoepassing is nie 'n verbintenis oor die bediener wat jou verkeer bereik nie. Voordat jy bewyse aanbied, merk watter dele van die pad die vennoot bedryf en watter dele jy namens hom bedryf. Om die twee te vermeng, lewer 'n pakket dokumente wat deeglik lyk en niks beantwoord nie.
As die ontplooiing joune is, hoef die vennoot dalk net 'n identiteit en 'n toegangsreël te vertrou, wat 'n veel kleiner versoek is as om jou hele sagteware-verskafersketting te vertrou. As die ontplooiing syne is, is die kliënt wat jy verkies dalk irrelevant en word die poortopstelling die onderwerp. Om uit te werk in watter geval jy is voor die tweede vergadering, spaar 'n hersieningsiklus.
Kyk dan na die operasionele vrae waarop die hersienings werklik misluk: wie 'n rekening verwyder, hoe vinnig, en watter bewyse daarna bestaan. 'n Pragtig gedokumenteerde assessering sonder 'n verwyderingsprosedure is steeds 'n oop bevinding.
Sluit af met 'n besluit, nie 'n debat nie
Beëindig die uitruiling met 'n geskrewe uitkoms: die aanvaarde weergawe, die kontroles daaraan verbonde, die genoemde operateurs, die bewyse wat nog uitstaande is en die datum waarop dit verwag word. Enigiets onopgelos moet as 'n voorwaarde aangeteken word eerder as om in 'n algemene goedkeuringsverklaring opgeneem te word.
As die beleid 'n spesifieke goedgekeurde produk noem, gebruik die uitsonderingroete in plaas daarvan om 'n parallelle reëling te bou wat niemand gemagtig het nie. 'n Oortuigende tegniese saak verleen nie toestemming nie, en 'n nie-amptelike ontplooiing is 'n bevinding wat wag om ontdek te word.
As 'n vereiste werklik nie nagekom kan word nie, gaan oor na die goedgekeurde alternatief en sê waarom. Die doel van die oefening is om vas te stel waarop die organisasie kan staatmaak, en 'n duidelike nee is 'n beter uitkoms as 'n goedkeuring wat niemand later kan verdedig nie.