Un port privé ne certifie pas le logiciel qui se trouve derrière

C'est un réflexe raisonnable : si seul le VPN atteint l'écouteur SSH, l'exposition est faible et le problème est réglé. L'exposition n'équivaut pourtant pas à l'intégrité. La première moitié est vraie et la seconde n'en découle pas. L'accessibilité détermine qui peut tenter une connexion ; l'intégrité logicielle détermine ce que l'écouteur fera quand il en recevra une. Une porte réduit le public et ne dit rien du code derrière elle.

Un port privé est une porte plus petite, pas une autre serrure, et cette distinction décide de ce que vous vérifiez ensuite.

Deux contrôles, deux questions

Une restriction réseau réduit l'exposition. Elle laisse les utilisateurs admis, et tout client approuvé compromis, capables d'atteindre le service concerné. Corriger le paquet restaure le logiciel, et cela ne réduit pas non plus une autorisation réseau trop large. Chaque contrôle fait son travail, et chacun peut être correct alors que l'autre manque. Les examiner ensemble est la façon dont une équipe se convainc que l'un couvre les deux, et c'est l'erreur précise dont traite cet article.

Le point de terminaison VPN est aussi un logiciel, et il porte la même obligation. L'ajouter au chemin introduit sa propre obligation de maintenance et ne supprime pas la responsabilité de la chaîne d'approvisionnement pour ce qui se trouve derrière.

Ce que la divulgation XZ a réellement démontré

La divulgation XZ/liblzma de mars 2024 décrivait une porte dérobée susceptible de mener à la compromission d'un serveur SSH dans les conditions concernées. C'était un problème d'intégrité logicielle autant qu'un problème d'exposition, et ce n'était pas la preuve que chaque installation Linux portait la compilation vulnérable. La portée vient des versions concernées et des distributions qui les ont livrées, pas du nom de la famille de systèmes d'exploitation.

Cette distinction est la différence entre une réponse à incident et une rumeur, et il vaut la peine d'être pointilleux à ce sujet.

Fermer le port n'est pas une récupération

Si la compromission a peut-être déjà eu lieu, changer l'accessibilité n'est pas une récupération. Une porte dérobée qui s'est exécutée a déjà eu son occasion ; une règle de pare-feu ne remonte pas le temps. Suivez le processus d'incident approuvé pour l'hôte et pour tout identifiant exposé, et conservez les preuves nécessaires pour établir ce qui s'est réellement exécuté. Reconstruire à partir de supports vérifiés fait généralement partie de cette conversation.

Utilisez aussi l'avis vérifié actuel de la distribution et son processus de remédiation, et lisez la liste des versions concernées plutôt que le titre. Copier une commande de rétrogradation historique dans un environnement sans rapport est la façon dont une correction devient une nouvelle exposition.

Examinez les deux, séparément

Posez les deux questions dans leurs propres termes. Qui peut atteindre l'écouteur, et ce public est-il exactement celui auquel le service est destiné ? Quelle version du logiciel est installée, qui a signé l'artefact, et comment l'organisation apprend-elle une mauvaise version avant de la lire dans les actualités ? Les réponses appartiennent à des documents différents avec des propriétaires différents, et aucun propriétaire ne peut répondre à la place de l'autre.

Pour une flotte gérée, un inventaire logiciel est le contrôle qui rend la seconde question répondable. Sans lui, chaque divulgation devient un projet d'archéologie avec une échéance.

Une porte réduit le public. L'intégrité décide si le public compte.