ব্যক্তিগত পোর্ট এর পেছনের সফটওয়্যারের সাক্ষ্য দেয় না

এটি একটি যুক্তিসঙ্গত প্রবৃত্তি: যদি কেবল VPN-ই SSH শ্রবণকারীর কাছে পৌঁছায়, তবে এক্সপোজার কম এবং সমস্যা সমাধান হয়েছে। তবে এক্সপোজার অখণ্ডতার সমান নয়। প্রথম অর্ধেক সত্য, আর দ্বিতীয়টি তার থেকে অনুসরণ করে না। পৌঁছানোযোগ্যতা নিয়ন্ত্রণ করে কে সংযোগের চেষ্টা করতে পারবে; সফটওয়্যারের অখণ্ডতা নিয়ন্ত্রণ করে শ্রবণকারী সংযোগ পেলে কী করবে। একটি গেট দর্শককে সংকুচিত করে এবং তার পেছনের কোড সম্পর্কে কিছুই বলে না।

ব্যক্তিগত পোর্ট ছোট একটি দরজা, ভিন্ন একটি তালা নয়, আর এই পার্থক্যই ঠিক করে আপনি পরে কী যাচাই করবেন।

দুটি নিয়ন্ত্রণ, দুটি প্রশ্ন

একটি নেটওয়ার্ক বিধিনিষেধ এক্সপোজার কমায়। এটি অনুমোদিত ব্যবহারকারী এবং কোনো আপসকৃত অনুমোদিত ক্লায়েন্টকে ক্ষতিগ্রস্ত সেবায় পৌঁছানোর সামর্থ্য রেখে দেয়। প্যাকেজ সংশোধন সফটওয়্যার পুনরুদ্ধার করে, আর এটি অতিরিক্ত প্রশস্ত নেটওয়ার্ক অনুমতিও সংকুচিত করে না। প্রতিটি নিয়ন্ত্রণ নিজের কাজ করে, এবং অন্যটি অনুপস্থিত থাকলেও প্রতিটি সঠিক হতে পারে। এগুলো একসাথে পর্যালোচনা করাই সেই উপায় যাতে একটি দল নিজেকে বোঝায় যে একটি দুটোই ঢেকে দেয়; এই লেখাটি ঠিক সেই ভুলটি নিয়ে।

VPN এন্ডপয়েন্টও সফটওয়্যার, এবং এটি একই দায় বহন করে। পথে এটি যোগ করলে তার নিজস্ব রক্ষণাবেক্ষণের দায় আসে, আর এটি তার পেছনের কোনো কিছুর সাপ্লাই চেইনের দায় সরায় না।

XZ প্রকাশ আসলে কী দেখাল

মার্চ 2024-এ XZ/liblzma প্রকাশ একটি ব্যাকডোরের বর্ণনা করেছিল যা নির্দিষ্ট পরিস্থিতিতে SSH সার্ভার আপসের দিকে নিতে পারত। এটি এক্সপোজার সমস্যা যতটা, সফটওয়্যার অখণ্ডতার সমস্যাও ছিল, এবং প্রতিটি Linux ইনস্টলেশন দুর্বল বিল্ড বহন করত এমন প্রমাণ ছিল না। পরিধি আসে ক্ষতিগ্রস্ত সংস্করণ ও সেগুলো সরবরাহকারী ডিস্ট্রিবিউশন থেকে, অপারেটিং সিস্টেম পরিবারের নাম থেকে নয়।

এই পার্থক্যই ঘটনা প্রতিক্রিয়া আর গুজবের মধ্যে পার্থক্য, এবং এ নিয়ে খুঁটিনাটি হওয়া মূল্যবান।

পোর্ট বন্ধ করা পুনরুদ্ধার নয়

যদি আপস ইতিমধ্যেই হয়ে থাকতে পারে, তবে পৌঁছানোযোগ্যতা বদলানো পুনরুদ্ধার নয়। যে ব্যাকডোর চালিত হয়েছে সে ইতিমধ্যেই তার সুযোগ পেয়েছে; ফায়ারওয়াল নিয়ম সময়ের পেছনে যায় না। হোস্ট এবং যেকোনো প্রকাশিত ক্রেডেনশিয়ালের জন্য অনুমোদিত ঘটনা প্রক্রিয়া অনুসরণ করুন, আর সত্যিই কী চালিত হয়েছিল তা প্রতিষ্ঠার জন্য প্রয়োজনীয় প্রমাণ রাখুন। পরিচিত-ভালো মিডিয়া থেকে পুনর্নির্মাণ সাধারণত সেই আলোচনার অংশ।

ডিস্ট্রিবিউশনের চলতি যাচাইকৃত পরামর্শ ও প্রতিকারের প্রক্রিয়াও ব্যবহার করুন, এবং শিরোনামের বদলে ক্ষতিগ্রস্ত সংস্করণের তালিকা পড়ুন। ঐতিহাসিক ডাউনগ্রেড কমান্ড অসম্পর্কিত পরিবেশে কপি করাই হলো একটি সমাধান নতুন এক্সপোজারে পরিণত হওয়ার উপায়।

দুটোই আলাদাভাবে পর্যালোচনা করুন

দুটি প্রশ্ন তাদের নিজস্ব ভাষায় করুন। কে শ্রবণকারীতে পৌঁছাতে পারে, এবং এই দর্শকই কি ঠিক সেই দর্শক যার জন্য সেবাটি তৈরি? সফটওয়্যারের কোন সংস্করণ ইনস্টল করা আছে, কে আর্টিফ্যাক্টে স্বাক্ষর করেছে, এবং সংস্থা খবরে পড়ার আগে একটি খারাপ রিলিজ কীভাবে জানতে পারে? উত্তরগুলো ভিন্ন মালিকের ভিন্ন নথিতে থাকে, এবং কোনো মালিক অন্যজনের পক্ষে উত্তর দিতে পারেন না।

একটি ব্যবস্থাপিত ফ্লিটের জন্য সফটওয়্যার ইনভেন্টরি হলো সেই নিয়ন্ত্রণ যা দ্বিতীয় প্রশ্নটিকে আদৌ উত্তরযোগ্য করে তোলে। এটি ছাড়া প্রতিটি প্রকাশ সময়সীমা সংযুক্ত একটি প্রত্নতত্ত্ব প্রকল্পে পরিণত হয়।

গেট দর্শককে সংকুচিত করে। অখণ্ডতা ঠিক করে দর্শকটি গুরুত্বপূর্ণ কি না।