یک درگاه خصوصی گواه نرم‌افزاری که پشت آن است نیست

این غریزه‌ای معقول است: اگر فقط VPN به شنونده SSH برسد، درمعرض‌بودن کم است و مشکل حل شده. اما درمعرض‌بودن به معنای یکپارچگی نیست. نیمه اول درست است و نیمه دوم از آن نتیجه نمی‌شود. دسترسی‌پذیری کنترل می‌کند چه کسی می‌تواند اتصال را امتحان کند؛ یکپارچگی نرم‌افزار کنترل می‌کند شنونده وقتی اتصالی گرفت چه کاری انجام می‌دهد. یک دروازه مخاطبان را محدود می‌کند و هیچ چیزی درباره کد پشت آن نمی‌گوید.

درگاه خصوصی درِ کوچک‌تری است، نه قفلی متفاوت، و همین تمایز تعیین می‌کند بعد چه چیزی را بررسی کنید.

دو کنترل، دو پرسش

محدودیت شبکه درمعرض‌بودن را کاهش می‌دهد. کاربران پذیرفته‌شده و هر کارخواه تأییدشده‌ای که به خطر افتاده باشد را همچنان قادر به رسیدن به سرویس آسیب‌دیده باقی می‌گذارد. اصلاح بسته نرم‌افزار را بازمی‌گرداند، و مجوز شبکه بیش‌ازحد گسترده را هم محدود نمی‌کند. هر کنترل کار خودش را انجام می‌دهد، و هر کدام می‌تواند درست باشد در حالی که دیگری نیست. بررسی همزمان آن‌ها همان روشی است که یک تیم خودش را قانع می‌کند یکی هر دو را پوشش می‌دهد، و این همان اشتباه مشخصی است که این نوشته درباره آن است.

نقطه پایانی VPN هم نرم‌افزار است و همان تعهد را دارد. افزودن آن به مسیر تعهد نگهداری خودش را وارد می‌کند و مسئولیت زنجیره تأمین را برای هر چیزی که پشت آن است از بین نمی‌برد.

افشای XZ در واقع چه چیزی را نشان داد

افشای XZ/liblzma در مارس 2024 درپشتی را توصیف کرد که می‌توانست در شرایط آسیب‌دیده به به‌خطرافتادن سرور SSH منجر شود. این مسئله یکپارچگی نرم‌افزار بود به همان اندازه که مسئله درمعرض‌بودن بود، و شاهدی نبود بر اینکه هر نصب Linux نسخه آسیب‌پذیر را دارد. دامنه از نسخه‌های آسیب‌دیده و توزیع‌هایی می‌آید که آن‌ها را منتشر کردند، نه از نام خانواده سیستم‌عامل.

این تمایز تفاوت میان پاسخ به رخداد و شایعه است، و ارزش دارد درباره‌اش موشکاف باشیم.

بستن درگاه بازیابی نیست

اگر به‌خطرافتادن از قبل ممکن است رخ داده باشد، تغییر دسترسی‌پذیری بازیابی نیست. درپشتی که اجرا شده فرصت خود را داشته است؛ قاعده دیوار آتش در زمان به عقب سفر نمی‌کند. فرایند تأییدشده رخداد را برای میزبان و هر اعتبارنامه درمعرض‌قرارگرفته دنبال کنید، و شواهد لازم برای اثبات اینکه واقعاً چه چیزی اجرا شد را نگه دارید. بازسازی از رسانه شناخته‌شده سالم معمولاً بخشی از همان گفت‌وگوست.

همچنین از مشاوره تأییدشده جاری و فرایند رفع توزیع استفاده کنید و فهرست نسخه‌های آسیب‌دیده را بخوانید نه تیتر را. کپی کردن یک فرمان تنزل تاریخی در محیطی بی‌ربط همان روشی است که یک اصلاح به درمعرض‌بودن تازه تبدیل می‌شود.

هر دو را جداگانه بررسی کنید

دو پرسش را با زبان خودشان بپرسید. چه کسی می‌تواند به شنونده برسد، و آیا این مخاطب دقیقاً همان مخاطبی است که سرویس برایش در نظر گرفته شده؟ کدام نسخه نرم‌افزار نصب است، چه کسی مصنوع را امضا کرده، و سازمان چگونه پیش از خواندن در خبرها از انتشار بد باخبر می‌شود؟ پاسخ‌ها به اسناد مختلف با مالکان مختلف تعلق دارند، و هیچ مالکی نمی‌تواند به جای دیگری پاسخ دهد.

برای ناوگان مدیریت‌شده، فهرست نرم‌افزار همان کنترلی است که پرسش دوم را اصلاً پاسخ‌پذیر می‌کند. بدون آن، هر افشا به پروژه باستان‌شناسی با مهلت تبدیل می‌شود.

دروازه مخاطبان را محدود می‌کند. یکپارچگی تعیین می‌کند آیا مخاطبان اهمیت دارند.