Firwat en Open-Source-VPN bei der Beschaffung ofgeleent gëtt
En Iwwerpréifer, dee géint Open Source ass, schützt normalerweis eng Ufuerderung, net e Lizenzgeschmaach. Frot wéi eng, a leet dann dat Dokument vir, dat se beäntwert.
Oflehnungen, déi Open Source nennen, dréinen sech sëllege Mol ëm d'Lizenzéierung. Den Iwwerpréifer schützt normalerweis eng Ufuerderung: datt een déi agesat Versioun ënnerhält, datt de installéierte Build identifizéierbar ass, datt eng Bewäertung deckt, wat ugeschloss gëtt, oder datt d'Verbindung zréckgezunn ka ginn. D'Debatt, déi duerno kënnt, beäntwert meeschtens eng Fro, déi kee gestallt huet.
Frot wéi eng Ufuerderung gëllt, ier Dir eng Lizenz verdeedegt. D'Äntwert entscheet, wéi en Dokument Dir braucht.
D'Etikett ass net d'Ufuerderung
Liesbare Quellcode heescht, datt déi publizéiert Implementéierung ka gepréift ginn. Et heescht net, datt een se gepréift huet, datt de Build um Gateway dem publizéierte entsprécht, oder datt en Ënnerhalter Ärem Deploiement eng Korrektur schëlleg ass. Jidderee vun dësen ass eng eege Behauptung mat engem eege Propriétaire, an en Iwwerpréifer, deen eng dovu brauch, gëtt net vun deenen aneren zefridde gestallt. D'Behauptung haart auszeschwätzen ass meeschtens genuch, fir d'Gespréich ze änneren.
De ëmgekéierte Feeler ass just esou heefeg. Eng kommerziell Lizenz beweist net, datt den Support d'Funktioun deckt, op déi Dir Iech verloosst, datt eng Bewäertung de Komponent gepréift huet, deen Dir deployéiert, oder datt de Fournisseur eng Korrektur bannent Ärem Ënnerhaltsfenster liwwert. D'Lizenzéierung beschreift Verdeelungsbedingunge, wärend Beschaffungsentscheedungen ëm Verléisslechkeet ginn. An all Fall ass d'Lizenz den am mannsten informativen Deel vun der Äntwert.
Halt de Client an den Service och auserneen. En Audit vun engem Desktop-Client seet näischt iwwer d'Gateway-Konfiguratioun vum Partner, säin Identitéitsubidder oder d'Aart, wéi seng Operateuren d'Läschen vun de Konten handhaben. Wéi eng Beweiser Dir och sammelt, si mussen zu der Grenz passen, déi dem Partner uvertraut gëtt.
Maacht d'Suergen zu engem Dokument
Frot den Genehmeger, d'Ufuerderung an engem Saz ze formuléieren, an nennt dann dat Dokument, dat se erfëlle géif. Genau déi vag Berouegung mécht aus dëse Gespréicher eng Debatt iwwer Ideologie.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework ass hei nëtzlech aus engem schmuele Grond: et encadréiert Beschaffungsgespréicher ëm e gemeinsame Vokabular vu Praktiken an der Kommunikatioun mat Fournisseuren. Dat ënnerstëtzt d'Fro no definéierte Beweiser amplaz enger Diskussioun iwwer en Etikett, an et ass keng Zertifizéierung, déi e bestëmmte VPN besteet.
Notéiert, wat déi mëttel Kolonn mécht. All Zeil freet en Dokument, dat entweder existéiert oder net, wat eng Meenung an eng Liwwerung ëmwandelt, déi een produzéiere kann oder ofleent.
Trennt de Client vum Service
En Ënnerhaltskontrakt fir eng Client-Applikatioun ass keng Verflichtung iwwer de Server, deen Ären Trafick erreecht. Ier Dir Beweiser presentéiert, markéiert, wéi eng Deeler vum Wee de Partner bedreift an wéi eng Dir a sengem Numm bedreift. Béides ze vermëschen ergëtt e Pak Dokumenter, dat grëndlech ausgesäit an näischt beäntwert.
Wann den Deploiement Ären ass, brauch de Partner vläicht just enger Identitéit an enger Zougangsregel ze vertrauen, wat eng vill méi kleng Ufro ass wéi Ärer ganzer Software-Liwwerketten ze vertrauen. Wann den Deploiement sëngen ass, kann de Client, deen Dir bevirzugt, irrelevant sinn an d'Gateway-Konfiguratioun gëtt d'Thema. Erauszefannen, a wéien Fall Dir sidd, ier der zweeter Versammlung spuert en Iwwerpréifungszyklus.
Dann iwwerpréift déi operationell Froen, op deenen d'Iwwerpréifungen tatsächlech versoen: wien e Kont ewechhëlt, wéi séier, an wéi eng Beweiser duerno existéieren. Eng schéin dokumentéiert Bewäertung ouni Ewechhuelprozedur ass nach ëmmer eng oppe Konstatatioun.
Schléisst mat enger Entscheedung, net enger Debatt
Schléisst den Austausch mat engem schrëftlechen Resultat of: déi akzeptéiert Versioun, d'Kontrollen déi domat verbonne sinn, déi genannt Operateuren, d'Beweiser déi nach fehlen an den Datum, op deen se fälleg sinn. Alles wat net geléist ass, sollt als Bedingung festgehale ginn amplaz an eng allgemeng Genehmegungserklärung opgeholl ze ginn.
Wann d'Politik e bestëmmte genehmegte Produkt nennt, benotzt den Ausnamwee amplaz eng parallel Arrangement ze bauen, déi keen autoriséiert huet. En iwwerzeegend technescht Argument gëtt keng Erlaabnes, an en inoffiziellen Deploiement ass eng Konstatatioun, déi drop waart, entdeckt ze ginn.
Wann eng Ufuerderung wierklech net erfëllt ka ginn, gitt op déi genehmegt Alternativ an a sot firwat. Den Zweck vun der Übung ass festzestellen, op wat d'Organisatioun sech verloosse kann, an e klore Neen ass e bessert Resultat wéi eng Genehmegung, déi spéider keen verdeedege kann.