Jak číst auditní zprávu o VPN: rozsah je důležitější než odznak

Odznaky se levně zobrazují a draze vykládají. Zveřejněná auditní zpráva je ohraničený kus inženýrské práce: jmenovaný hodnotitel zkoumal jmenované komponenty, u jmenované verze, se stanovenou metodou a časovým rozpočtem. Tato čtyři fakta určují, co může závěr podpořit, a obvykle jsou na prvních několika stránkách, nikoli v marketingovém shrnutí. Jejich přečtení trvá deset minut a zabrání časté chybě rozšířit zjištění o klientské aplikaci na celou službu.

Co sekce o rozsahu vlastně ohraničuje

Prohlášení o rozsahu je plot a vše za ním zůstává nezodpovězené, nikoli prošlé. Zprávy uvádějí zkoumané komponenty, rozsah commitů nebo identifikátor sestavení, použité prostředí a povolený model interakce. Desktopový klient, mobilní aplikace, serverový kód, backend účtu a produkční infrastruktura jsou pět různých předmětů a zakázka může pokrýt kteroukoli jejich podmnožinu.

Vyloučení jsou stejně důležitá jako zahrnutí, protože se uvádějí záměrně a čtou se nedbale. Systém účtů popsaný jako mimo rozsah se nepředpokládá jako bezpečný a mobilní aplikace vynechaná ze zakázky prostě není prozkoumána. Označte každou netestovanou komponentu ve svých poznámkách jako neznámou a odolejte pokušení vyplnit mezeru reputací.

Dva druhy testů odpovídají na různé otázky

Revize zdrojového kódu a testování za běhu hledají různé poruchy. Recenzent čtoucí kód může sledovat odvození klíče, všimnout si chybějící kontroly délky a uvažovat o celém parseru, aniž by jej spustil. Tester proti běžící službě zjistí, co nasazené sestavení skutečně dělá: certifikát, který aplikace odmítá, záložní protokol stále povolený, koncový bod, který uniká banner verze přes konfiguraci, kterou nikdo nezkontroloval.

Ani jedno nenahrazuje druhé a zpráva obvykle uvádí, které bylo provedeno. Když shrnutí řekne „auditováno“ bez tohoto rozlišení, nejasnost je ve shrnutí, ne ve zprávě.

Omezení přístupu dělají totéž. Zakázka černé skříňky nevidí konfiguraci serveru a revize architektury, která se nikdy nedotkne nasazeného koncového bodu, nemůže zaznamenat, že produkce se liší od diagramu. Obě jsou legitimní; slučovat jejich výsledky nikoli.

Jak se zjištění stane opravenou verzí

Cenná polovina zprávy je tabulka nápravy: každé zjištění, jeho závažnost podle metody hodnotitele, reakce provozovatele a výsledek opakovaného testu. Čísla závažnosti pocházejí ze zvolené metodiky, nikoli z přírody, proto porovnávejte závažnosti v rámci jedné zprávy, ne mezi dvěma s různými škálami.

Potom spojte opravu s vydaným softwarem. Opravené zjištění je pro uživatele důležité jen tehdy, když je nainstalovaná verze, která opravu nese, a proto je třeba číst identifikátor sestavení ze zprávy a changelog vydání společně. Opakovaný test, který opravu pokryl, uzavírá smyčku; netestovaná oprava je tvrzení. Stejně tak oprava vydaná jen ve větvi, kterou žádné stabilní vydání nesloučilo.

Co vám odznak nemůže říct

Nepřítomnost zjištění není důkazem nepřítomnosti vad. Krátká zakázka s pevným rozpočtem něco přehlédne a poctivé čtení čisté zprávy je, že hodnotitel v dostupném čase nenašel třídy problémů, které hledal.

Odznak také nemůže mluvit za vlastnosti mimo svůj rozsah. Tvrzení o praxi logování, jurisdikci nebo uchovávání žijí v dokumentu zásad, ne v auditu klientské aplikace, a žádná reputace hodnotitele tuto hranici nepřekračuje.

Zaznamenávání důkazů, které obhájíte

Napište citaci ve třech částech: komponenta, verze a ověřená oprava. Zveřejněná zakázka, jako je audit VPN zadaný Mozillou podporuje přesně tvrzení, která její rozsah popisuje, a nic širšího, což při přesné citaci stále stojí za dost. Stejná zpráva citovaná pro něco, co nikdy nezkoumala, má menší cenu než žádná citace, protože zve k důvěře, kterou si nikdo nezasloužil.

Když tvrzená vlastnost spadá mimo všechny dostupné zprávy, ponechte ji v dokumentu nevyřešenou. Nevyřešený řádek zve k doplňující otázce; odznak ne. Jedinou výjimkou je vlastnost, kterou řeší jiný, stejně konkrétní dokument, a pak se mění citace, nikoli tvrzení.

Dva další návyky činí čtení trvalým: poznamenejte datum zprávy vůči vydání, které skutečně používáte, a udržujte rozdíl mezi tím, co bylo testováno, a tím, co jste nasadili. Obojí mění rozhodnutí o důvěře v něco, co kolega může ověřit.