Un port privat no certifica el programari que hi ha darrere

És un instint raonable: si només la VPN arriba a l'oient SSH, l'exposició és petita i el problema està resolt. L'exposició, però, no equival a la integritat. La primera meitat és certa i la segona no se'n deriva. L'abastabilitat controla qui pot intentar una connexió; la integritat del programari controla què farà l'oient quan en rebi una. Una porta estreta redueix el públic i no diu res sobre el codi que hi ha darrere.

Un port privat és una porta més petita, no un pany diferent, i aquesta distinció decideix què comproveu a continuació.

Dos controls, dues preguntes

Una restricció de xarxa redueix l'exposició. Deixa els usuaris admesos, i qualsevol client aprovat compromès, en condicions d'arribar al servei afectat. Corregir el paquet restaura el programari, i tampoc no redueix un permís de xarxa massa ampli. Cada control fa la seva feina, i cadascun pot ser correcte mentre l'altre falta. Revisar-los junts és com un equip es convenç que un cobreix els dos, i aquest és l'error concret del qual tracta aquest article.

El punt final de la VPN també és programari, i té la mateixa obligació. Afegir-lo al camí introdueix una obligació de manteniment pròpia, i no elimina la responsabilitat de la cadena de subministrament de res del que hi ha darrere.

Què va demostrar realment la revelació de l'XZ

La revelació de l'XZ/liblzma del març del 2024 va descriure una porta del darrere que podia portar a comprometre un servidor SSH en condicions afectades. Era un problema d'integritat del programari tant com un problema d'exposició, i no era cap prova que totes les instal·lacions de Linux portessin la compilació vulnerable. L'abast ve de les versions afectades i de les distribucions que les van enviar, no del nom de la família del sistema operatiu.

Aquesta distinció és la diferència entre una resposta a un incident i un rumor, i val la pena ser pedant amb això.

Tancar el port no és recuperar-se

Si el compromís ja pot haver passat, canviar l'abastabilitat no és recuperar-se. Una porta del darrere que s'ha executat ja ha tingut la seva oportunitat; una regla de tallafoc no viatja enrere en el temps. Seguiu el procés aprovat d'incidents per a l'amfitrió i per a qualsevol credencial exposada, i conserveu les proves necessàries per establir què es va executar realment. Reconstruir a partir de suports verificats sol formar part d'aquesta conversa.

Utilitzeu també l'avís verificat actual de la distribució i el seu procés de remediació, i llegiu la llista de versions afectades en lloc del titular. Copiar una ordre de degradació històrica en un entorn no relacionat és com una correcció es converteix en una exposició nova.

Reviseu tots dos, per separat

Feu les dues preguntes amb els seus propis termes. Qui pot arribar a l'oient, i aquest públic és exactament el públic al qual es destina el servei? Quina versió del programari hi ha instal·lada, qui ha signat l'artefacte i com s'assabenta l'organització d'una versió dolenta abans de llegir-ho a les notícies? Les respostes pertanyen a documents diferents amb propietaris diferents, i cap propietari no pot respondre per l'altre.

Per a una flota gestionada, un inventari de programari és el control que fa la segona pregunta contestable. Sense això, cada revelació es converteix en un projecte d'arqueologia amb data límit.

Una porta estreta redueix el públic. La integritat decideix si el públic importa.