Pam y gwrthodir VPN cod agored mewn caffael
Mae adolygydd sy’n gwrthwynebu cod agored fel arfer yn amddiffyn gofyniad, nid chwaeth drwyddedu. Gofynnwch pa un, yna cynhyrchwch yr arteffact sy’n ei ateb.
Anaml y mae gwrthodiadau sy’n cyfeirio at god agored yn dibynnu ar drwyddedu. Mae’r adolygydd fel arfer yn amddiffyn gofyniad: bod rhywun yn cynnal y rhyddhau sydd wedi’i osod, bod modd adnabod y build sydd wedi’i osod, bod asesiad yn cwmpasu’r hyn sy’n cael ei gysylltu, neu bod modd tynnu’r cysylltiad yn ôl. Mae’r ddadl sy’n dilyn fel arfer yn ateb cwestiwn na ofynnodd neb.
Gofynnwch pa ofyniad sy’n berthnasol cyn amddiffyn trwydded. Yr ateb sy’n penderfynu pa ddogfen sydd ei hangen arnoch.
Nid y label yw’r gofyniad
Mae cod ffynhonnell darllenadwy yn golygu bod modd archwilio’r gweithrediad cyhoeddedig. Nid yw’n golygu bod rhywun wedi’i archwilio, bod y build ar y giât yn cyfateb i’r un cyhoeddedig, neu fod cynhaliwr yn ddyledus i’ch defnydd o welliant. Mae pob un o’r rhain yn honiad ar wahân gyda pherchennog ar wahân, ac ni fydd adolygydd sydd angen un ohonynt yn cael ei fodloni gan y lleill. Mae enwi’r honiad yn uchel fel arfer yn ddigon i newid y sgwrs.
Mae’r camgymeriad gwrthwyneb yr un mor gyffredin. Nid yw trwydded fasnachol yn profi bod cymorth yn cwmpasu’r nodwedd rydych yn dibynnu arni, bod asesiad wedi archwilio’r gydran rydych yn ei defnyddio, neu y bydd y gwerthwr yn anfon cywiriad o fewn eich ffenestr gynnal a chadw. Mae trwyddedu yn disgrifio telerau dosbarthu, tra bod penderfyniadau caffael yn ymwneud â dibyniaeth. Naill ffordd neu’r llall, y drwydded yw’r rhan leiaf addysgiadol o’r ateb.
Cadwch y cleient a’r gwasanaeth ar wahân hefyd. Nid yw archwiliad o gleient penbwrdd yn dweud dim am ffurfweddiad giât y partner, ei ddarparwr hunaniaeth nac am y ffordd y mae ei weithredwyr yn trin dileu cyfrifon. Rhaid i unrhyw dystiolaeth a gasglwch gyd-fynd â’r ffin y gofynnir i’r partner ymddiried ynddi.
Trowch y pryder yn arteffact
Gofynnwch i’r cymeradwyydd ddatgan y gofyniad mewn un frawddeg, yna enwch yr arteffact a fyddai’n ei fodloni. Y sicrwydd amwys sy’n troi’r sgyrsiau hyn yn ddadl am ideoleg.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
Mae NIST Secure Software Development Framework yn ddefnyddiol yma am un rheswm cul: mae’n fframio sgyrsiau caffael o amgylch geirfa gyffredin o arferion a chyfathrebu â chyflenwyr. Mae hynny’n cefnogi gofyn am dystiolaeth ddiffiniedig yn lle dadlau am label, ac nid yw’n ardystiad y mae unrhyw VPN penodol yn ei basio.
Sylwch beth mae’r golofn ganol yn ei wneud. Mae pob rhes yn gofyn am ddogfen sydd naill ai’n bodoli neu ddim, sy’n troi barn yn ddarpariaeth y gall rhywun ei chynhyrchu neu ei gwrthod.
Gwahanwch y cleient o’r gwasanaeth
Nid yw contract cymorth ar gyfer cymhwysiad cleient yn ymrwymiad ynghylch y gweinydd y mae eich traffig yn cyrraedd. Cyn cyflwyno tystiolaeth, nodwch ba rannau o’r llwybr y mae’r partner yn eu rhedeg a pha rannau rydych chi’n eu rhedeg ar ei ran. Mae cymysgu’r ddau yn cynhyrchu pecyn o ddogfennau sy’n edrych yn drylwyr ac yn ateb dim.
Os eich defnydd chi yw’r defnydd, efallai mai dim ond hunaniaeth a rheol mynediad sydd angen i’r partner ymddiried ynddynt, sef cais llawer llai na chael ymddiriedaeth yn eich cadwyn gyflenwi meddalwedd gyfan. Os mai ei ddefnydd ef yw’r defnydd, efallai bod y cleient rydych yn ei ffafrio yn amherthnasol a’r ffurfweddiad giât sy’n dod yn bwnc. Mae canfod pa achos sydd ar waith gennych cyn yr ail gyfarfod yn arbed un cylch adolygu.
Yna gwiriwch y cwestiynau gweithredol y mae adolygiadau yn methu arnynt mewn gwirionedd: pwy sy’n dileu cyfrif, pa mor gyflym, a pha dystiolaeth sy’n bodoli ar ôl hynny. Mae asesiad wedi’i ddogfennu’n brydferth heb weithdrefn ddileu yn dal i fod yn ganfyddiad agored.
Gorffennwch â phenderfyniad, nid â dadl
Gorffennwch y cyfnewidiad â chanlyniad ysgrifenedig: y fersiwn a dderbyniwyd, y rheolaethau sydd ynghlwm wrthi, y gweithredwyr a enwyd, y dystiolaeth sydd heb ei chyflwyno o hyd a’r dyddiad y mae’n ddyledus. Dylai unrhyw beth heb ei ddatrys gael ei gofnodi fel amod yn hytrach na’i lyncu i ddatganiad cymeradwyo cyffredinol.
Os yw’r polisi’n enwi cynnyrch cymeradwy penodol, defnyddiwch y llwybr eithriad yn hytrach na chodi trefniant cyfochrog na awdurdododd neb. Nid yw achos technegol darbwyllol yn rhoi caniatâd, ac mae defnydd answyddogol yn ganfyddiad sy’n aros i’w ddarganfod.
Os na ellir bodloni gofyniad mewn gwirionedd, ewch i’r dewis cymeradwy a dweud pam. Pwrpas yr ymarfer yw sefydlu’r hyn y gall y sefydliad ddibynnu arno, ac mae ‘na’ clir yn ganlyniad gwell na chymeradwyaeth na all neb ei hamddiffyn yn ddiweddarach.