निजी पोर्ट अपने पीछे के सॉफ़्टवेयर का प्रमाण नहीं है

यह उचित सहज ज्ञान है: यदि केवल VPN ही SSH श्रोता तक पहुँचता है, तो जोखिम कम है और समस्या हल हो गई है। हालाँकि जोखिम अखंडता के बराबर नहीं है। पहला आधा सच है और दूसरा उससे नहीं निकलता। पहुँच यह नियंत्रित करती है कि कौन कनेक्शन का प्रयास कर सकता है; सॉफ़्टवेयर की अखंडता यह नियंत्रित करती है कि श्रोता को कनेक्शन मिलने पर वह क्या करेगा। एक द्वार दर्शकों को सीमित करता है और उसके पीछे के कोड के बारे में कुछ नहीं कहता।

निजी पोर्ट एक छोटा दरवाज़ा है, दूसरा ताला नहीं, और यही अंतर तय करता है कि आगे आप क्या जाँचेंगे।

दो नियंत्रण, दो प्रश्न

नेटवर्क प्रतिबंध जोखिम कम करता है। यह स्वीकृत उपयोगकर्ताओं को और किसी भी समझौता किए गए स्वीकृत क्लाइंट को प्रभावित सेवा तक पहुँचने की क्षमता में छोड़ देता है। पैकेज सुधारना सॉफ़्टवेयर को बहाल करता है, और यह अत्यधिक व्यापक नेटवर्क अनुमति को भी सीमित नहीं करता। प्रत्येक नियंत्रण अपना काम करता है, और प्रत्येक सही हो सकता है जबकि दूसरा अनुपस्थित हो। उन्हें एक साथ देखना वह तरीका है जिससे कोई टीम स्वयं को आश्वस्त करती है कि एक दोनों को कवर करता है, और यही वह विशिष्ट गलती है जिस पर यह लेख है।

VPN एंडपॉइंट भी सॉफ़्टवेयर है, और वह वही दायित्व उठाता है। इसे पथ में जोड़ना अपना रखरखाव दायित्व लाता है, और यह अपने पीछे की किसी भी चीज़ के लिए आपूर्ति श्रृंखला की ज़िम्मेदारी नहीं हटाता।

XZ के खुलासे ने वास्तव में क्या दिखाया

मार्च 2024 में XZ/liblzma के खुलासे ने एक बैकडोर का वर्णन किया जो प्रभावित परिस्थितियों में SSH सर्वर के समझौते तक ले जा सकता था। यह जोखिम की समस्या जितनी ही सॉफ़्टवेयर अखंडता की समस्या थी, और यह प्रमाण नहीं था कि हर Linux इंस्टॉलेशन में कमज़ोर बिल्ड था। दायरा प्रभावित संस्करणों और उन्हें भेजने वाले वितरणों से आता है, ऑपरेटिंग सिस्टम परिवार के नाम से नहीं।

यही अंतर किसी घटना की प्रतिक्रिया और अफ़वाह के बीच का अंतर है, और इस पर सूक्ष्मता बरतना उचित है।

पोर्ट बंद करना रिकवरी नहीं है

यदि समझौता पहले ही हो चुका हो सकता है, तो पहुँच बदलना रिकवरी नहीं है। जो बैकडोर निष्पादित हो चुका है उसे पहले ही अपना अवसर मिल चुका है; फ़ायरवॉल नियम समय में पीछे नहीं जाता। होस्ट और किसी भी उजागर क्रेडेंशियल के लिए स्वीकृत घटना प्रक्रिया का पालन करें, और यह स्थापित करने के लिए आवश्यक साक्ष्य रखें कि वास्तव में क्या निष्पादित हुआ। ज्ञात-अच्छे मीडिया से पुनर्निर्माण आमतौर पर उस बातचीत का हिस्सा होता है।

वितरण की वर्तमान सत्यापित सलाह और उपचार प्रक्रिया का भी उपयोग करें, और शीर्षक के बजाय प्रभावित संस्करणों की सूची पढ़ें। ऐतिहासिक डाउनग्रेड कमांड को असंबंधित वातावरण में कॉपी करना यही है कि कैसे एक सुधार नया जोखिम बन जाता है।

दोनों की अलग-अलग समीक्षा करें

दोनों प्रश्न उनकी अपनी शर्तों में पूछें। श्रोता तक कौन पहुँच सकता है, और क्या यही दर्शक ठीक वही हैं जिनके लिए सेवा बनी है? सॉफ़्टवेयर का कौन-सा संस्करण स्थापित है, आर्टिफ़ैक्ट पर किसने हस्ताक्षर किए, और संगठन को खबरों में पढ़ने से पहले किसी बुरे रिलीज़ का पता कैसे चलता है? उत्तर अलग-अलग स्वामियों वाले अलग-अलग दस्तावेज़ों में हैं, और कोई भी स्वामी दूसरे की ओर से उत्तर नहीं दे सकता।

प्रबंधित फ़्लीट के लिए, सॉफ़्टवेयर इन्वेंटरी वह नियंत्रण है जो दूसरे प्रश्न को उत्तर देने योग्य बनाता है। इसके बिना, हर खुलासा समय-सीमा वाला पुरातत्व परियोजना बन जाता है।

द्वार दर्शकों को सीमित करता है। अखंडता तय करती है कि दर्शकों का महत्व है या नहीं।