Ler un informe de auditoría de VPN: o alcance pesa máis que a insignia

As insignias son baratas de mostrar e caras de interpretar. Un informe de auditoría publicado é unha peza acoutada de traballo de enxeñería: un avaliador nomeado examinou compoñentes nomeados, nunha versión nomeada, cun método declarado e un orzamento de tempo. Esos catro feitos determinan que pode soster a conclusión, e adoitan estar nas primeiras páxinas e non no resumo de márketing. Leelos leva dez minutos e evita o erro habitual de estender un achado sobre unha aplicación de cliente a todo un servizo.

Que limita realmente a sección de alcance

Unha declaración de alcance é un valado, e todo o que queda fóra está sen resposta en lugar de superado. Os informes enumeran os compoñentes examinados, o rango de commits ou o identificador de compilación, a contorna utilizada e o modelo de interacción permitido. Un cliente de escritorio, unha aplicación móbil, o código do servidor, o backend da conta e a infraestrutura de produción son cinco temas distintos, e un encargo pode cubrir calquera subconxunto deles.

As exclusións importan tanto coma as inclusións, porque se declaran a propósito e se len con descoido. Un sistema de contas descrito como fóra de alcance non se dá por seguro, e unha aplicación móbil deixada fóra dun encargo simplemente non se examina. Marque cada compoñente non probado nas súas notas como descoñecido e resista a tentación de encher o oco con reputación.

Dous tipos de proba responden preguntas distintas

A revisión do código fonte e as probas en execución buscan fallos diferentes. Un revisor que le código pode seguir unha derivación de clave, detectar unha comprobación de lonxitude ausente e razoar sobre un analizador enteiro sen executalo. Un probador contra un servizo en funcionamento descobre que fai realmente a compilación despregada: un certificado que a aplicación rexeita, un protocolo de reserva aínda habilitado, un punto final que filtra un banner de versión mediante unha configuración que ninguén revisou.

Ningún substitúe o outro, e o informe adoita indicar cal se realizou. Cando un resumo di «auditado» sen esa distinción, a ambigüidade está no resumo, non no informe.

Os límites de acceso fan o mesmo traballo. Un encargo de caixa negra non pode ver a configuración do servidor, e unha revisión de arquitectura que nunca toca un punto final despregado non pode notar que a produción difire do diagrama. Ambos son lexítimos; mesturar os seus resultados non o é.

Como un achado se converte nunha versión corrixida

A metade valiosa dun informe é a táboa de remediación: cada achado, a súa gravidade segundo o método do avaliador, a resposta do operador e o resultado da reproba. Os números de gravidade veñen dunha metodoloxía escollida e non da natureza, así que compare gravidades dentro dun informe e non entre dous con escalas distintas.

Despois conecte a corrección co software publicado. Un achado corrixido só importa a un usuario cando a versión que leva a corrección é a instalada, e por iso o identificador de compilación dun informe e o rexistro de cambios dunha versión deben lerse xuntos. Unha reproba que cubriu a corrección pecha o círculo; unha corrección non probada é unha afirmación. Tamén o é unha corrección publicada só nunha rama que ningunha versión estable chegou a fusionar.

Que non pode dicirlle a insignia

A ausencia de achados non é proba de ausencia de defectos. Un encargo curto cun orzamento fixo pasará cousas por alto, e a lectura honesta dun informe limpo é que o avaliador non atopou as clases de problema que buscaba no tempo dispoñible.

A insignia tampouco pode falar de propiedades fóra do seu alcance. As afirmacións sobre prácticas de rexistro, xurisdición ou retención viven nun documento de política, non nunha auditoría dunha aplicación de cliente, e ningunha reputación do avaliador cruza esa fronteira.

Rexistrar probas que poida defender

Escriba a cita en tres partes: o compoñente, a versión e a corrección verificada. Un encargo publicado como a auditoría de VPN encargada por Mozilla sostén exactamente as afirmacións que describe o seu alcance e nada máis amplo, o que aínda vale bastante cando a cita é precisa. O mesmo informe citado por algo que nunca examinou vale menos que ningunha cita, porque invita a unha confianza que ninguén gañou.

Cando unha propiedade afirmada cae fóra de todos os informes dispoñibles, déixea sen resolver no documento. Unha liña sen resolver invita a unha pregunta de seguimento; unha insignia non. A única excepción é unha propiedade que resolve outro documento igual de específico, e entón cambia a cita e non a afirmación.

Dous costumes máis fan duradeira a lectura: anote a data do informe fronte á versión que realmente executa, e garde a diferenza entre o que se probou e o que despregou. Ambas converten unha decisión de confianza en algo que un colega pode comprobar.