Μια ιδιωτική θύρα δεν πιστοποιεί το λογισμικό πίσω από αυτήν

Είναι ένα λογικό ένστικτο: αν μόνο το VPN φτάνει στον ακροατή SSH, η έκθεση είναι μικρή και το πρόβλημα έχει αντιμετωπιστεί. Η έκθεση όμως δεν ισούται με ακεραιότητα. Το πρώτο μισό είναι αληθινό και το δεύτερο δεν έπεται. Η προσβασιμότητα ελέγχει ποιος μπορεί να επιχειρήσει μια σύνδεση· η ακεραιότητα λογισμικού ελέγχει τι θα κάνει ο ακροατής όταν λάβει μία. Μια πύλη περιορίζει το κοινό και δεν λέει τίποτα για τον κώδικα πίσω της.

Μια ιδιωτική θύρα είναι μια μικρότερη πόρτα, όχι μια διαφορετική κλειδαριά, και αυτή η διάκριση καθορίζει τι θα ελέγξετε στη συνέχεια.

Δύο έλεγχοι, δύο ερωτήματα

Ένας περιορισμός δικτύου μειώνει την έκθεση. Αφήνει τους επιτρεπόμενους χρήστες, και κάθε παραβιασμένο εγκεκριμένο πελάτη, σε θέση να φτάσουν στην επηρεαζόμενη υπηρεσία. Η διόρθωση του πακέτου αποκαθιστά το λογισμικό, και δεν περιορίζει ούτε μια υπερβολικά ευρεία δικτυακή άδεια. Κάθε έλεγχος κάνει τη δική του δουλειά, και καθένας μπορεί να είναι σωστός ενώ λείπει ο άλλος. Η εξέτασή τους μαζί είναι ο τρόπος με τον οποίο μια ομάδα πείθει τον εαυτό της ότι ο ένας καλύπτει και τους δύο, και αυτό είναι ακριβώς το λάθος για το οποίο μιλά αυτό το κείμενο.

Το τελικό σημείο του VPN είναι κι αυτό λογισμικό, και φέρει την ίδια υποχρέωση. Η προσθήκη του στη διαδρομή εισάγει δική της υποχρέωση συντήρησης, και δεν αφαιρεί την ευθύνη της αλυσίδας εφοδιασμού για οτιδήποτε πίσω από αυτό.

Τι απέδειξε πραγματικά η αποκάλυψη του XZ

Η αποκάλυψη των XZ/liblzma τον Μάρτιο του 2024 περιέγραψε μια κερκόπορτα που μπορούσε να οδηγήσει σε παραβίαση διακομιστή SSH υπό επηρεαζόμενες συνθήκες. Ήταν πρόβλημα ακεραιότητας λογισμικού όσο και πρόβλημα έκθεσης, και δεν ήταν απόδειξη ότι κάθε εγκατάσταση Linux έφερε το ευάλωτο build. Το εύρος προκύπτει από τις επηρεαζόμενες εκδόσεις και τις διανομές που τις διένειμαν, όχι από το όνομα της οικογένειας λειτουργικών συστημάτων.

Αυτή η διάκριση είναι η διαφορά ανάμεσα σε απόκριση περιστατικού και φήμη, και αξίζει να είμαστε σχολαστικοί με αυτήν.

Το κλείσιμο της θύρας δεν είναι ανάκαμψη

Αν η παραβίαση μπορεί να έχει ήδη συμβεί, η αλλαγή της προσβασιμότητας δεν είναι ανάκαμψη. Μια κερκόπορτα που εκτελέστηκε είχε ήδη την ευκαιρία της· ένας κανόνας τείχους προστασίας δεν ταξιδεύει προς τα πίσω στον χρόνο. Ακολουθήστε την εγκεκριμένη διαδικασία περιστατικών για τον κεντρικό υπολογιστή και για οποιαδήποτε εκτεθειμένα διαπιστευτήρια, και διατηρήστε τα στοιχεία που χρειάζονται για να διαπιστωθεί τι εκτελέστηκε πραγματικά. Η επαναδημιουργία από γνωστά καλά μέσα είναι συνήθως μέρος αυτής της συζήτησης.

Χρησιμοποιήστε επίσης την τρέχουσα επαληθευμένη ειδοποίηση και διαδικασία αποκατάστασης της διανομής, και διαβάστε τη λίστα των επηρεαζόμενων εκδόσεων αντί για τον τίτλο. Η αντιγραφή μιας ιστορικής εντολής υποβάθμισης σε ένα άσχετο περιβάλλον είναι ο τρόπος με τον οποίο μια διόρθωση γίνεται νέα έκθεση.

Εξετάστε και τα δύο, χωριστά

Θέστε τα δύο ερωτήματα με τους δικούς τους όρους. Ποιος μπορεί να φτάσει στον ακροατή, και είναι αυτό το κοινό ακριβώς εκείνο για το οποίο προορίζεται η υπηρεσία; Ποια έκδοση του λογισμικού είναι εγκατεστημένη, ποιος υπέγραψε το τεχνούργημα, και πώς μαθαίνει ο οργανισμός για μια κακή κυκλοφορία πριν τη διαβάσει στις ειδήσεις; Οι απαντήσεις ανήκουν σε διαφορετικά έγγραφα με διαφορετικούς ιδιοκτήτες, και κανένας ιδιοκτήτης δεν μπορεί να απαντήσει για τον άλλον.

Για ένα διαχειριζόμενο στόλο, ένα απόθεμα λογισμικού είναι ο έλεγχος που καθιστά το δεύτερο ερώτημα απαντήσιμο. Χωρίς αυτό, κάθε αποκάλυψη γίνεται αρχαιολογικό έργο με προθεσμία.

Μια πύλη περιορίζει το κοινό. Η ακεραιότητα καθορίζει αν το κοινό έχει σημασία.