Einkaport vottar ekki hugbúnaðinn að baki

Þetta er eðlileg eðlishvöt: ef aðeins VPN nær til SSH-hlustarans er útsetningin lítil og vandamálið leyst. Útsetning er þó ekki það sama og heilleiki. Fyrri helmingurinn er sannur og sá seinni leiðir ekki af honum. Aðgengi stýrir því hver má reyna tengingu; heilleiki hugbúnaðar stýrir því hvað hlustarinn gerir þegar hann fær tengingu. Hlið þrengir að áhorfendahópnum og segir ekkert um kótann að baki.

Einkaport er minni hurð, ekki önnur lás, og þessi greinarmunur ræður því hvað þú athugar næst.

Tvær varnir, tvær spurningar

Netkerfistakmörkun dregur úr útsetningu. Hún lætur leyfða notendur, og hvern þann samþykkta biðlara sem hefur verið spilltur, geta náð til viðkomandi þjónustu. Að lagfæra pakkann endurheimtir hugbúnaðinn, og það þrengir ekki heldur að of víðtæku netheimild. Hver vörn sinnir sínu verkefni, og hver getur verið rétt á meðan hin vantar. Að fara yfir þær saman er leiðin sem teymi sannfærir sjálft sig um að önnur nái yfir báðar, og það er einmitt mistakið sem þessi grein fjallar um.

VPN-endapunkturinn er líka hugbúnaður og ber sömu skyldu. Að bæta honum í slóðina kynnir eigin viðhaldsskyldu og fjarlægir ekki ábyrgð framboðskeðjunnar fyrir neinu sem er að baki.

Hvað XZ-tilkynningin sýndi í raun

XZ/liblzma-tilkynningin í mars 2024 lýsti bakdyrum sem gætu leitt til spilltingar SSH-þjóns við tilteknar aðstæður. Þetta var heilleiksvandamál hugbúnaðar jafnmikið og útsetningarvandamál, og það var ekki sönnun þess að hver Linux-uppsetning bæri berskjaldaða smíðina. Umfangið kemur frá viðkomandi útgáfum og dreifingunum sem sendu þær, ekki frá nafni stýrikerfisfjölskyldunnar.

Sá greinarmunur er munurinn á atvikaviðbrögðum og sögusögn, og það er þess virði að vera smámunasamur um hann.

Að loka portinu er ekki endurheimt

Ef spilltingin kann þegar að hafa átt sér stað er breytt aðgengi ekki endurheimt. Bakdyr sem voru keyrðar hafa þegar fengið tækifæri sitt; eldveggjarregla fer ekki aftur í tímann. Fylgdu samþykktri atvikaaðferð fyrir hýsilinn og allar útsettar auðkennisupplýsingar, og varðveittu sönnunargögnin sem þarf til að staðfesta hvað var í raun keyrt. Endurbygging frá þekktum góðum miðlum er yfirleitt hluti af þeirri umræðu.

Notaðu einnig núverandi staðfest ráð og úrbótaferli dreifingarinnar, og lestu listann yfir viðkomandi útgáfur frekar en fyrirsögnina. Að afrita sögulega niðurfærslukomu í ótengt umhverfi er leiðin sem lagfæring verður ný útsetning.

Farðu yfir bæði, aðskilið

Spyrðu spurninganna tveggja á þeirra eigin forsendum. Hver getur náð til hlustarans, og er sá áhorfendahópur nákvæmlega sá sem þjónustunni er ætlaður? Hvaða útgáfa hugbúnaðarins er uppsett, hver undirritaði gripinn, og hvernig kemst samtökin að slæmri útgáfu áður en þau lesa um hana í fréttum? Svörin tilheyra mismunandi skjölum með mismunandi eigendum, og enginn eigandi getur svarað fyrir hönd hins.

Fyrir stýrðan flota er hugbúnaðarskráin vörnin sem gerir seinni spurninguna yfirleitt svaraða. Án hennar verður hver tilkynning fornleifaverkefni með skilafrest.

Hlið þrengir að áhorfendahópnum. Heilleiki ræður því hvort hann skiptir máli.