Soukromý port nedokládá software, který za ním stojí

Je to rozumný instinkt: pokud se k SSH posluchači dostane jen VPN, expozice je malá a problém je vyřešen. Expozice ovšem neznamená integritu. První polovina je pravdivá a druhá z ní nevyplývá. Dostupnost určuje, kdo smí zkusit připojení; integrita softwaru určuje, co posluchač udělá, když je dostane. Brána zužuje publikum a o kódu za ní neříká nic.

Soukromý port jsou menší dveře, ne jiný zámek, a tento rozdíl rozhoduje, co budete kontrolovat dál.

Dvě kontroly, dvě otázky

Síťové omezení snižuje expozici. Ponechává povolené uživatele i jakéhokoli kompromitovaného schváleného klienta schopné dosáhnout dotčené služby. Oprava balíčku obnovuje software a také nezužuje příliš široké síťové oprávnění. Každá kontrola dělá svou práci a každá může být správná, zatímco druhá chybí. Společné posuzování je způsob, jakým se tým přesvědčí, že jedna pokrývá obojí, a to je právě ta chyba, o níž tento text je.

Koncový bod VPN je také software a nese stejnou povinnost. Jeho přidání do cesty zavádí vlastní povinnost údržby a neodstraňuje odpovědnost za dodavatelský řetězec u čehokoli za ním.

Co zveřejnění XZ skutečně ukázalo

Zveřejnění XZ/liblzma z března 2024 popisovalo zadní vrátka, která mohla za dotčených podmínek vést ke kompromitaci SSH serveru. Byl to problém integrity softwaru stejně jako problém expozice a nebyl důkazem, že každá instalace Linuxu nesla zranitelné sestavení. Rozsah vychází z dotčených verzí a distribucí, které je dodaly, ne z názvu rodiny operačních systémů.

Tento rozdíl je rozdíl mezi reakcí na incident a fámou a stojí za pedantnost.

Zavření portu není obnova

Pokud ke kompromitaci už mohlo dojít, změna dostupnosti není obnova. Zadní vrátka, která se spustila, už dostala svou příležitost; pravidlo firewallu necestuje zpět v čase. Postupujte podle schváleného procesu pro incidenty pro hostitele i pro jakékoli exponované přihlašovací údaje a uchovejte důkazy potřebné k určení toho, co se skutečně spustilo. Přestavba z ověřených médií je obvykle součástí toho rozhovoru.

Použijte také aktuální ověřené doporučení a proces nápravy distribuce a čtěte seznam dotčených verzí, ne titulek. Kopírování historického příkazu k downgradu do nesouvisejícího prostředí je způsob, jak se z opravy stane nová expozice.

Prověřte obojí, odděleně

Položte obě otázky jejich vlastními slovy. Kdo se může dostat k posluchači a je to publikum přesně to, pro které je služba určena? Která verze softwaru je nainstalována, kdo podepsal artefakt a jak se organizace dozví o špatném vydání dřív, než si o něm přečte ve zprávách? Odpovědi patří do různých dokumentů s různými vlastníky a žádný vlastník nemůže odpovědět za druhého.

Pro spravovanou flotilu je inventář softwaru kontrola, která vůbec činí druhou otázku zodpověditelnou. Bez něj se každé zveřejnění stává archeologickým projektem s termínem.

Brána zužuje publikum. Integrita rozhoduje, zda na publiku záleží.