Yksityinen portti ei todista sen takana olevaa ohjelmistoa

Se on järkevä vaisto: jos vain VPN saavuttaa SSH-kuuntelijan, altistus on pieni ja ongelma on hoidettu. Altistus ei kuitenkaan tarkoita eheyttä. Ensimmäinen puolisko pitää paikkansa, eikä toinen seuraa siitä. Saavutettavuus ohjaa, kuka saa yrittää yhteyttä; ohjelmiston eheys ohjaa, mitä kuuntelija tekee, kun se saa yhteyden. Portti kaventaa yleisöä eikä kerro mitään sen takana olevasta koodista.

Yksityinen portti on pienempi ovi, ei erilainen lukko, ja tämä ero ratkaisee, mitä tarkistat seuraavaksi.

Kaksi kontrollia, kaksi kysymystä

Verkkorajoitus vähentää altistusta. Se jättää hyväksytyt käyttäjät ja minkä tahansa vaarantuneen hyväksytyn asiakkaan kykyyn saavuttaa kohdepalvelu. Paketin korjaaminen palauttaa ohjelmiston, eikä se myöskään kavenna liian laajaa verkkolupaa. Kukin kontrolli tekee oman työnsä, ja kukin voi olla oikein, kun toinen puuttuu. Niiden tarkastelu yhdessä on tapa, jolla tiimi vakuuttaa itsensä siitä, että yksi kattaa molemmat, ja juuri se on tämän kirjoituksen aiheena oleva virhe.

VPN-päätepiste on myös ohjelmistoa, ja sillä on sama velvoite. Sen lisääminen polkuun tuo mukanaan oman ylläpitovelvoitteen eikä poista toimitusketjun vastuuta mistään sen takana olevasta.

Mitä XZ-paljastus todella osoitti

Maaliskuun 2024 XZ/liblzma-paljastus kuvasi takaovea, joka saattoi johtaa SSH-palvelimen vaarantumiseen tietyissä olosuhteissa. Se oli ohjelmiston eheysongelma yhtä lailla kuin altistusongelma, eikä se ollut todiste siitä, että jokaisessa Linux-asennuksessa olisi ollut haavoittuva käännös. Laajuus tulee kohdeversioista ja ne toimittaneista jakeluista, ei käyttöjärjestelmäperheen nimestä.

Tämä ero on ero tapahtumavasteen ja huhun välillä, ja siinä kannattaa olla pedanttinen.

Portin sulkeminen ei ole palautuminen

Jos vaarantuminen on ehkä jo tapahtunut, saavutettavuuden muuttaminen ei ole palautumista. Takaovi, joka suoritettiin, on jo saanut tilaisuutensa; palomuurisääntö ei matkusta ajassa taaksepäin. Noudata hyväksyttyä tapahtumaprosessia isännälle ja kaikille paljastuneille tunnistetiedoille, ja säilytä todisteet, jotka tarvitaan sen selvittämiseen, mitä todella suoritettiin. Uudelleenrakentaminen tunnetusti hyvistä medioista on yleensä osa sitä keskustelua.

Käytä myös jakelun nykyistä vahvistettua ohjetta ja korjausprosessia ja lue kohdeversioiden luettelo otsikon sijaan. Historiallisen alennuskomennon kopioiminen asiaankuulumattomaan ympäristöön on tapa, jolla korjauksesta tulee uusi altistus.

Tarkastele molempia erikseen

Esitä kaksi kysymystä niiden omilla ehdoilla. Kuka voi saavuttaa kuuntelijan, ja onko tämä yleisö täsmälleen se, jolle palvelu on tarkoitettu? Mikä ohjelmiston versio on asennettu, kuka allekirjoitti artefaktin, ja miten organisaatio saa tietää huonosta julkaisusta ennen kuin lukee siitä uutisista? Vastaukset kuuluvat eri asiakirjoihin, joilla on eri omistajat, eikä kukaan omistaja voi vastata toisen puolesta.

Hallinnoidulle laivastolle ohjelmistoluettelo on kontrolli, joka ylipäätään tekee toisesta kysymyksestä vastattavan. Ilman sitä jokaisesta paljastuksesta tulee määräaikainen arkeologiaprojekti.

Portti kaventaa yleisöä. Eheys ratkaisee, onko yleisöllä väliä.