Una porta privata non certifica il software che sta dietro

È un istinto ragionevole: se solo la VPN raggiunge l'ascoltatore SSH, l'esposizione è piccola e il problema è risolto. L'esposizione, però, non equivale all'integrità. La prima metà è vera e la seconda non ne deriva. La raggiungibilità controlla chi può tentare una connessione; l'integrità del software controlla cosa farà l'ascoltatore quando ne riceve una. Una porta restringe il pubblico e non dice nulla sul codice che sta dietro.

Una porta privata è una porta più piccola, non una serratura diversa, e questa distinzione decide cosa verificate dopo.

Due controlli, due domande

Una restrizione di rete riduce l'esposizione. Lascia gli utenti ammessi, e qualsiasi client approvato compromesso, in grado di raggiungere il servizio interessato. Correggere il pacchetto ripristina il software, e non restringe nemmeno un'autorizzazione di rete troppo ampia. Ogni controllo fa il proprio lavoro, e ciascuno può essere corretto mentre manca l'altro. Esaminarli insieme è il modo in cui un team si convince che uno copre entrambi, ed è l'errore preciso di cui tratta questo articolo.

Anche l'endpoint VPN è software, e porta lo stesso obbligo. Aggiungerlo al percorso introduce un proprio obbligo di manutenzione e non elimina la responsabilità della catena di fornitura per nulla che stia dietro.

Che cosa ha realmente dimostrato la divulgazione XZ

La divulgazione di XZ/liblzma del marzo 2024 descriveva una backdoor che poteva portare alla compromissione di un server SSH in condizioni interessate. Era un problema di integrità del software tanto quanto un problema di esposizione, e non era la prova che ogni installazione Linux portasse la build vulnerabile. La portata deriva dalle versioni interessate e dalle distribuzioni che le hanno distribuite, non dal nome della famiglia di sistemi operativi.

Questa distinzione è la differenza tra una risposta a un incidente e una voce, e vale la pena essere pedanti al riguardo.

Chiudere la porta non è un ripristino

Se la compromissione può essere già avvenuta, cambiare la raggiungibilità non è un ripristino. Una backdoor eseguita ha già avuto la sua occasione; una regola del firewall non viaggia indietro nel tempo. Seguite la procedura di incidente approvata per l'host e per qualsiasi credenziale esposta, e conservate le prove necessarie a stabilire cosa è stato realmente eseguito. Ricostruire da supporti verificati fa di solito parte di quella conversazione.

Usate anche l'avviso verificato attuale della distribuzione e il suo processo di remediation, e leggete l'elenco delle versioni interessate invece del titolo. Copiare un comando di downgrade storico in un ambiente non correlato è il modo in cui una correzione diventa una nuova esposizione.

Esaminate entrambi, separatamente

Ponete le due domande nei loro termini. Chi può raggiungere l'ascoltatore, e quel pubblico è esattamente quello a cui il servizio è destinato? Quale versione del software è installata, chi ha firmato l'artefatto, e come l'organizzazione viene a sapere di una brutta release prima di leggerla nelle notizie? Le risposte appartengono a documenti diversi con proprietari diversi, e nessun proprietario può rispondere al posto dell'altro.

Per una flotta gestita, un inventario del software è il controllo che rende la seconda domanda a cui si può rispondere. Senza di esso, ogni divulgazione diventa un progetto di archeologia con una scadenza.

Una porta restringe il pubblico. L'integrità decide se il pubblico conta.