Приватен порт не потврдува софтвер зад себе

Ова е разумен инстинкт: ако само VPN стигне до SSH слушачот, изложеноста е мала и проблемот е решен. Но изложеноста не е исто што и интегритет. Првата половина е точна, а втората не произлегува од неа. Достапноста контролира кој смее да се обиде да се поврзе; интегритетот на софтверот контролира што ќе направи слушачот кога ќе добие врска. Портата го стеснува аудиториумот и не кажува ништо за кодот зад неа.

Приватниот порт е помала врата, а не друг заклуч, и оваа разлика одлучува што ќе проверите понатаму.

Две контроли, две прашања

Мрежното ограничување ја намалува изложеноста. Тоа ги остава дозволените корисници, и секој компромитиран одобрен клиент, способни да стигнат до засегнатата услуга. Поправањето на пакетот го враќа софтверот, и исто така не стеснува премногу широко мрежно одобрување. Секоја контрола ја работи својата работа, и секоја може да биде точна додека другата недостасува. Нивното заедничко разгледување е начинот на кој тимот се убедува дека едната ги покрива двете, и тоа е токму грешката за која е овој текст.

Крајната точка на VPN е исто така софтвер и ја носи истата обврска. Нејзиното додавање на патеката воведува сопствена обврска за одржување и не ја отстранува одговорноста за синџирот на снабдување за ништо зад неа.

Што всушност покажа откривањето на XZ

Откривањето на XZ/liblzma од март 2024 година опиша задна врата која под засегнати услови можеше да доведе до компромитирање на SSH сервер. Тоа беше проблем со интегритетот на софтверот колку и проблем со изложеноста, и не беше доказ дека секоја инсталација на Linux го имаше ранливиот состав. Опсегот доаѓа од засегнатите верзии и дистрибуциите што ги испорачаа, а не од името на семејството оперативни системи.

Таа разлика е разликата меѓу одговор на инцидент и гласина, и вреди да се биде педантен за тоа.

Затворањето на портата не е обнова

Ако компромитирањето можеби веќе се случило, менувањето на достапноста не е обнова. Задната врата што се извршила веќе ја имала својата можност; правилото на огнениот ѕид не патува назад во времето. Следете го одобрениот процес за инциденти за домаќинот и за сите изложени акредитиви, и сочувајте ги доказите потребни за утврдување што навистина се извршило. Повторното градење од познати добри медиуми обично е дел од тој разговор.

Користете го и тековниот потврден совет и процесот за санација на дистрибуцијата, и читајте го списокот на засегнати верзии наместо насловот. Копирањето историска команда за намалување во неповрзана околина е начинот на кој поправката станува нова изложеност.

Прегледајте ги двете, одделно

Поставете ги двете прашања со нивните сопствени поими. Кој може да стигне до слушачот, и дали таа аудиторија е точно онаа за која услугата е наменета? Која верзија на софтверот е инсталирана, кој го потпишал артефактот, и како организацијата дознава за лошо издание пред да прочита за него во вестите? Одговорите припаѓаат на различни документи со различни сопственици, и ниту еден сопственик не може да одговори наместо другиот.

За управуван парк, пописот на софтвер е контролата што воопшто го прави второто прашање одговорливо. Без него секое откривање станува археолошки проект со рок.

Портата го стеснува аудиториумот. Интегритетот одлучува дали аудиториумот е важен.