Хувийн порт ард байгаа программыг батлахгүй
Хүртээмж ба програмын бүрэн бүтэн байдал нь тусдаа хяналт юм. XZ-ийн ил болгох нь хоёуланг нь шалгах шалтгаан, хувийн портыг зассан багц гэж үзэх шалтгаан биш.
Энэ нь үндэслэлтэй зөн совин: зөвхөн VPN нь SSH сонсогчид хүрвэл өртөлт бага, асуудал шийдэгдсэн. Гэхдээ өртөлт нь бүрэн бүтэн байдалтай тэнцэхгүй. Эхний хагас нь үнэн, хоёр дахь нь түүнээс гарахгүй. Хүртээмж нь хэн холболт хийхийг оролдож болохыг хянадаг; програмын бүрэн бүтэн байдал нь сонсогч холболт авахдаа юу хийхийг хянадаг. Хаалга үзэгчдийг нарийсгадаг бөгөөд ард байгаа кодын талаар юу ч хэлдэггүй.
Хувийн порт бол жижиг хаалга, өөр цоож биш, энэ ялгаа нь дараа юу шалгахаа тодорхойлно.
Хоёр хяналт, хоёр асуулт
Сүлжээний хязгаарлалт нь өртөлтийг бууруулдаг. Энэ нь зөвшөөрөгдсөн хэрэглэгчид болон аль ч эвдэрсэн зөвшөөрөгдсөн клиентийг өртсөн үйлчилгээнд хүрэх чадвартай үлдээдэг. Багцыг засах нь програмыг сэргээдэг бөгөөд энэ нь хэт өргөн сүлжээний зөвшөөрлийг ч нарийсгадаггүй. Хяналт бүр өөрийн ажлыг хийдэг бөгөөд нөгөө нь байхгүй үед ч тус бүр зөв байж болно. Тэдгээрийг хамт авч үзэх нь нэг нь хоёуланг нь хамардаг гэж баг өөрөө өөртөө итгүүлэх арга бөгөөд энэ нь энэхүү өгүүлэлд дурдсан тодорхой алдаа юм.
VPN-ийн төгсгөлийн цэг нь мөн програм бөгөөд ижил үүрэг хариуцлага хүлээдэг. Үүнийг замд нэмэх нь өөрийн засвар үйлчилгээний үүргийг авчирдаг бөгөөд ард байгаа аливаа зүйлийн нийлүүлэлтийн сүлжээний хариуцлагыг арилгадаггүй.
XZ-ийн ил болгох нь үнэндээ юу харуулсан бэ
2024 оны гуравдугаар сард XZ/liblzma-ийн ил болгох нь өртсөн нөхцөлд SSH серверийн эвдрэлд хүргэж болзошгүй арын хаалгыг тодорхойлсон. Энэ нь өртөлтийн асуудал шиг л програмын бүрэн бүтэн байдлын асуудал байсан бөгөөд Linux-ийн бүх суулгац эмзэг бүтэцтэй гэсэн нотолгоо биш байв. Хамрах хүрээ нь өртсөн хувилбарууд болон тэдгээрийг хүргэсэн хуваарилалтаас гардаг, үйлдлийн системийн гэр бүлийн нэрнээс биш.
Тэр ялгаа нь тохиолдлын хариу арга хэмжээ болон цуу ярианы ялгаа бөгөөд энэ талаар нягт нямбай байх нь үнэ цэнэтэй.
Портыг хаах нь сэргээлт биш
Хэрэв эвдрэл аль хэдийн болсон байж болзошгүй бол хүртээмжийг өөрчлөх нь сэргээлт биш. Ажиллуулсан арын хаалга аль хэдийн боломжоо авсан; галт ханын дүрэм цаг хугацаанд ухрахгүй. Хост болон ил болсон бүх итгэмжлэлийн хувьд батлагдсан тохиолдлын процессыг дагаж, үнэндээ юу ажиллуулсныг тогтооход шаардлагатай нотлох баримтыг хадгал. Мэдэгдэж буй сайн зөөвөрлөгчөөс дахин бүтээх нь ихэвчлэн тэр ярианы хэсэг байдаг.
Хуваарилалтын одоогийн баталгаажсан зөвлөмж болон засварын процессыг бас ашиглаж, гарчгийн оронд өртсөн хувилбаруудын жагсаалтыг уншина уу. Түүхэн буулгах командыг холбоогүй орчинд хуулах нь засвар шинэ өртөлт болох арга юм.
Хоёуланг нь тус тусад нь хяна
Хоёр асуултыг тэдний өөрийн нөхцлөөр асуу. Хэн сонсогчид хүрч чадах вэ, энэ үзэгчид үйлчилгээний зориулсан үзэгчид яг мөн үү? Програмын аль хувилбар суулгагдсан, артефактад хэн гарын үсэг зурсан, байгууллага муу хувилбарыг мэдээгээр уншихаас өмнө хэрхэн мэддэг вэ? Хариултууд өөр өөр эзэмшигчтэй өөр өөр баримт бичигт хамаардаг бөгөөд ямар ч эзэмшигч нөгөөгийнхөө өмнөөс хариулж чадахгүй.
Удирдлагын флотын хувьд програмын бүртгэл нь хоёр дахь асуултыг огт хариулах боломжтой болгодог хяналт юм. Үүнгүйгээр ил болгох бүр хугацаатай археологийн төсөл болдог.
Хаалга үзэгчдийг нарийсгадаг. Бүрэн бүтэн байдал нь үзэгчид чухал эсэхийг шийддэг.