Прыватны порт не сведчыць пра праграмнае забеспячэнне за ім

Гэта разумны інстынкт: калі да SSH-слухача даходзіць толькі VPN, выкрыццё невялікае і праблема вырашана. Але выкрыццё не азначае цэласнасці. Першая палова праўдзівая, а другая з яе не вынікае. Дасяжнасць кантралюе, хто можа паспрабаваць злучэнне; цэласнасць праграмнага забеспячэння кантралюе, што слухач зробіць, калі яго атрымае. Брама звужвае аўдыторыю і нічога не кажа пра код за ёй.

Прыватны порт — гэта меншыя дзверы, а не іншы замок, і гэтае адрозненне вызначае, што вы праверыце далей.

Два сродкі кантролю, два пытанні

Сеткавае абмежаванне памяньшае выкрыццё. Яно пакідае дапушчаных карыстальнікаў і любога скампраметаванага адабранага кліента здольнымі дасягнуць закранутай службы. Выпраўленне пакета аднаўляе праграмнае забеспячэнне, і яно таксама не звужае занадта шырокае сеткавае права. Кожны сродак робіць сваю працу, і кожны можа быць правільным, пакуль іншага няма. Разглядаць іх разам — гэта спосаб, якім каманда пераконвае сябе, што адзін пакрывае абодва, і гэта менавіта тая памылка, пра якую гэты артыкул.

Канчатковы пункт VPN — таксама праграмнае забеспячэнне, і ён нясе тое ж абавязацельства. Даданне яго ў шлях уводзіць уласнае абавязацельства абслугоўвання і не здымае адказнасць за ланцуг паставак для ўсяго, што за ім.

Што насамрэч паказала раскрыццё XZ

Раскрыццё XZ/liblzma ў сакавіку 2024 года апісвала закладку, якая магла прывесці да кампраметацыі сервера SSH пры пэўных умовах. Гэта была праблема цэласнасці праграмнага забеспячэння не менш, чым праблема выкрыцця, і яна не была доказам таго, што кожная ўсталёўка Linux мела ўразлівую зборку. Абсяг вынікае з закранутых версій і дыстрыбутываў, якія іх пастаўлялі, а не з назвы сямейства аперацыйных сістэм.

Гэтае адрозненне — розніца паміж рэагаваннем на інцыдэнт і чуткамі, і варта быць педантычным у гэтым.

Закрыць порт — не аднаўленне

Калі кампраметацыя магла ўжо адбыцца, змяненне дасяжнасці не з'яўляецца аднаўленнем. Закладка, якая выканалася, ужо атрымала свой шанец; правіла міжсеткавага экрана не падарожнічае ў мінулае. Выконвайце зацверджаны працэс рэагавання на інцыдэнты для хоста і для любых выкрытых уліковых даных, і захоўвайце доказы, патрэбныя для ўстанаўлення таго, што насамрэч выканалася. Перабудова з пэўных носьбітаў звычайна з'яўляецца часткай гэтай размовы.

Таксама выкарыстоўвайце бягучы правераны парадак і працэс выпраўлення дыстрыбутыва і чытайце спіс закранутых версій, а не загаловак. Капіраванне гістарычнай каманды адкату ў незвязанае асяроддзе — гэта тое, як выпраўленне становіцца новым выкрыццём.

Разгледзьце абодва асобна

Задайце два пытанні ў іх уласных выразах. Хто можа дасягнуць слухача і ці гэтая аўдыторыя менавіта тая, для якой прызначана служба? Якая версія праграмнага забеспячэння ўсталявана, хто падпісаў артэфакт і як арганізацыя даведваецца пра дрэнны выпуск раней, чым прачытае пра яго ў навінах? Адказы належаць розным дакументам з рознымі ўладальнікамі, і ніводзін уладальнік не можа адказаць за іншага.

Для кіраванага парку інвентар праграмнага забеспячэння — гэта сродак, які робіць другое пытанне наогул адказным. Без яго кожнае раскрыццё ператвараецца ў археалагічны праект з дэдлайнам.

Брама звужвае аўдыторыю. Цэласнасць вырашае, ці мае аўдыторыя значэнне.