Un puerto privado no certifica el software que hay detrás

Es un instinto razonable: si solo la VPN llega al oyente SSH, la exposición es pequeña y el problema está resuelto. La exposición, sin embargo, no equivale a la integridad. La primera mitad es cierta y la segunda no se deriva de ella. El alcance controla quién puede intentar una conexión; la integridad del software controla qué hará el oyente cuando reciba una. Una puerta estrecha reduce el público y no dice nada sobre el código que hay detrás.

Un puerto privado es una puerta más pequeña, no una cerradura distinta, y esa distinción decide qué comprobáis a continuación.

Dos controles, dos preguntas

Una restricción de red reduce la exposición. Deja a los usuarios admitidos, y a cualquier cliente aprobado comprometido, en condiciones de llegar al servicio afectado. Corregir el paquete restaura el software, y tampoco reduce un permiso de red demasiado amplio. Cada control hace su trabajo, y cada uno puede ser correcto mientras falta el otro. Revisarlos juntos es como un equipo se convence de que uno cubre a los dos, y ese es el error concreto del que trata este artículo.

El punto final de la VPN también es software, y tiene la misma obligación. Añadirlo a la ruta introduce su propia obligación de mantenimiento, y no elimina la responsabilidad de la cadena de suministro de nada que haya detrás.

Qué demostró realmente la revelación de XZ

La revelación de XZ/liblzma de marzo de 2024 describió una puerta trasera que podía llevar a comprometer un servidor SSH en condiciones afectadas. Era un problema de integridad del software tanto como un problema de exposición, y no era prueba de que toda instalación de Linux llevara la compilación vulnerable. El alcance viene de las versiones afectadas y de las distribuciones que las enviaron, no del nombre de la familia del sistema operativo.

Esa distinción es la diferencia entre una respuesta a un incidente y un rumor, y vale la pena ser pedante al respecto.

Cerrar el puerto no es recuperarse

Si el compromiso ya puede haber ocurrido, cambiar el alcance no es recuperarse. Una puerta trasera que se ejecutó ya tuvo su oportunidad; una regla de cortafuegos no viaja hacia atrás en el tiempo. Seguid el proceso aprobado de incidentes para el host y para cualquier credencial expuesta, y conservad las pruebas necesarias para establecer qué se ejecutó realmente. Reconstruir desde medios verificados suele formar parte de esa conversación.

Utilizad también el aviso verificado actual de la distribución y su proceso de remediación, y leed la lista de versiones afectadas en lugar del titular. Copiar una orden de degradación histórica en un entorno no relacionado es como una corrección se convierte en una exposición nueva.

Revisad ambos, por separado

Plantead las dos preguntas en sus propios términos. ¿Quién puede llegar al oyente, y ese público es exactamente el público al que se destina el servicio? ¿Qué versión del software está instalada, quién firmó el artefacto y cómo se entera la organización de una versión mala antes de leerlo en las noticias? Las respuestas pertenecen a documentos distintos con propietarios distintos, y ningún propietario puede responder por el otro.

Para una flota gestionada, un inventario de software es el control que hace la segunda pregunta contestable. Sin él, cada revelación se convierte en un proyecto de arqueología con fecha límite.

Una puerta estrecha reduce el público. La integridad decide si el público importa.