En privat port beviser ikke noget om softwaren bag den

Det er en rimelig instinkt: hvis kun VPN'en når SSH-lytteren, er eksponeringen lille, og problemet er håndteret. Eksponering er dog ikke det samme som integritet. Den første halvdel er sand, og den anden følger ikke. Tilgængelighed styrer, hvem der må forsøge en forbindelse; softwareintegritet styrer, hvad lytteren gør, når den får en. En port begrænser publikum og siger intet om koden bag den.

En privat port er en mindre dør, ikke en anden lås, og den forskel afgør, hvad du tjekker næste gang.

To kontroller, to spørgsmål

En netværksbegrænsning reducerer eksponeringen. Den efterlader tilladte brugere og enhver kompromitteret godkendt klient i stand til at nå den berørte tjeneste. Rettelse af pakken gendanner softwaren, og den indsnævrer heller ikke en for bred netværkstilladelse. Hver kontrol gør sit eget arbejde, og hver kan være korrekt, mens den anden mangler. At gennemgå dem sammen er, hvordan et team overbeviser sig selv om, at den ene dækker begge, og det er præcis den fejl, dette stykke handler om.

VPN-endepunktet er også software, og det bærer samme forpligtelse. At tilføje det til stien indfører sin egen vedligeholdelsesforpligtelse og fjerner ikke forsyningskædeansvaret for noget bag det.

Hvad XZ-afsløringen faktisk viste

XZ/liblzma-afsløringen i marts 2024 beskrev en bagdør, som under berørte forhold kunne føre til kompromittering af en SSH-server. Det var et softwareintegritetsproblem lige så meget som et eksponeringsproblem, og det var ikke bevis for, at enhver Linux-installation havde det sårbare build. Omfanget kommer fra de berørte versioner og de distributioner, der sendte dem, ikke fra navnet på operativsystemfamilien.

Den forskel er forskellen mellem en hændelsesrespons og et rygte, og det er værd at være pedantisk omkring.

At lukke porten er ikke genopretning

Hvis kompromittering muligvis allerede er sket, er ændret tilgængelighed ikke genopretning. En bagdør, der blev udført, har allerede haft sin chance; en firewall-regel rejser ikke tilbage i tiden. Følg den godkendte hændelsesproces for værten og for eventuelle eksponerede legitimationsoplysninger, og bevar de beviser, der er nødvendige for at fastslå, hvad der faktisk blev udført. Genopbygning fra kendte gode medier er normalt en del af den samtale.

Brug også distributionens aktuelle verificerede rådgivning og afhjælpningsproces, og læs listen over berørte versioner i stedet for overskriften. At kopiere en historisk nedgraderingskommando til et urelateret miljø er, hvordan en rettelse bliver en ny eksponering.

Gennemgå begge, hver for sig

Stil de to spørgsmål på deres egne præmisser. Hvem kan nå lytteren, og er det publikum præcis det, tjenesten er beregnet til? Hvilken version af softwaren er installeret, hvem har signeret artefakten, og hvordan finder organisationen ud af en dårlig udgivelse, før den læses i nyhederne? Svarene hører til forskellige dokumenter med forskellige ejere, og ingen ejer kan svare på den andens vegne.

For en administreret flåde er en softwareopgørelse den kontrol, der overhovedet gør det andet spørgsmål muligt at besvare. Uden den bliver hver afsløring et arkæologiprojekt med en deadline.

En port begrænser publikum. Integritet afgør, om publikum betyder noget.