Нээлттэй эх кодтой VPN-ийг худалдан авалтад яагаад үгүйсгэдэг вэ
Нээлттэй эх кодтой зөрчилддөг шүүмжлэгч ихэвчлэн шаардлагыг хамгаалдаг, лицензийн амтыг биш. Аль нь болохыг асуугаад, түүнд хариулах баримт бичгийг бэлтгэ.
Нээлттэй эх кодыг дурдсан татгалзал нь лицензтэй холбоотой байх нь ховор. Шүүмжлэгч ихэвчлэн шаардлагыг хамгаалдаг: хэн нэгэн байршуулсан хувилбарыг арчлах, суулгасан бүтэц танигдах, үнэлгээ холбогдож буй зүйлийг хамарч байх, эсвэл холболтыг буцааж авах боломжтой байх. Дараагийн маргаан ихэвчлэн хэн ч асуугаагүй асуултад хариулдаг.
Лицензийг хамгаалахаас өмнө аль шаардлага үйлчилж байгааг асуу. Хариулт нь танд ямар баримт бичиг хэрэгтэйг тодорхойлно.
Шошго бол шаардлага биш
Уншигдах эх код гэдэг нь нийтэлсэн хэрэгжилтийг шалгаж болно гэсэн үг. Энэ нь хэн нэгэн шалгасан, гарц дээрх бүтэц нийтэлсэнтэй тохирч байгаа, эсвэл арчигч таны байршуулалтад засвар төлөх ёстой гэсэн үг биш. Эдгээр нь тус тусдаа эзэнтэй тусдаа мэдэгдэл бөгөөд тэдгээрийн аль нэг нь хэрэгтэй шүүмжлэгч бусдаар сэтгэл хангалуун болохгүй. Мэдэгдлийг чангаар нэрлэх нь ихэвчлэн яриаг өөрчлөхөд хангалттай.
Эсрэг алдаа мөн адил түгээмэл. Арилжааны лиценз нь дэмжлэг таны найдаж буй функцийг хамардаг, үнэлгээ таны байршуулж буй бүрэлдэхүүнийг судалсан, эсвэл нийлүүлэгч таны үйлчилгээний цонхонд засвар илгээнэ гэдгийг нотлохгүй. Лицензлэлт нь түгээлтийн нөхцөлийг тодорхойлдог бол худалдан авалтын шийдвэр итгэлцэлтэй холбоотой. Аль ч тохиолдолд лиценз нь хариултын хамгийн бага мэдээлэлтэй хэсэг.
Клиент ба үйлчилгээг тусад нь бариарай. Ширээний клиентийн аудит нь түншийн гарцын тохиргоо, түүний таних тэмдэг нийлүүлэгч, эсвэл операторууд нь бүртгэл устгахыг хэрхэн зохицуулдаг тухай юу ч хэлэхгүй. Цуглуулсан аливаа нотолгоо нь түншээс итгэхийг хүсч буй хил хязгаартай тохирох ёстой.
Санаа зовнилыг баримт бичиг болго
Зөвшөөрөл олгогчийг шаардлагыг нэг өгүүлбэрээр хэлэхийг хүсээд, дараа нь түүнийг хангах баримт бичгийг нэрлэ. Бүрхэг тайвшруулалт нь эдгээр яриаг үзэл суртлын маргаан болгодог.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework энд нэг нарийн шалтгаанаар хэрэгтэй: худалдан авалтын яриаг практик ба нийлүүлэгчтэй харилцах нийтлэг үг хэллэгийн эргэн тойронд хүрээлдэг. Энэ нь шошгын талаар маргахын оронд тодорхой нотолгоо шаардахыг дэмждэг бөгөөд энэ нь тодорхой VPN дамждаг гэрчилгээ биш.
Дунд багана юу хийдгийг анхаар. Мөр бүр байгаа эсвэл байхгүй баримт бичгийг шаарддаг бөгөөд энэ нь саналыг хэн нэгэн гаргаж эсвэл татгалзаж болох үр дүн болгож хувиргадаг.
Клиент ба үйлчилгээг тусгаарла
Клиент програмын дэмжлэгийн гэрээ нь таны урсгал хүрэх серверийн талаарх амлалт биш. Нотолгоо танилцуулахаас өмнө замын аль хэсгийг түнш удирдаж, аль хэсгийг та түүний өмнөөс удирдаж байгаагаа тэмдэглэ. Хоёрыг хольсон тохиолдолд нарийн мэт санагдах боловч юунд ч хариулахгүй баримт бичгийн багц үүсдэг.
Хэрэв байршуулалт таных бол түнш зөвхөн таних тэмдэг ба нэвтрэх дүрэмд итгэх шаардлагатай байж болох бөгөөд энэ нь таны бүхэл програм хангамжийн нийлүүлэлтийн сүлжээнд итгэхээс хамаагүй бага хүсэлт. Хэрэв байршуулалт түүнийх бол таны илүүд үздэг клиент хамааралгүй байж, гарцын тохиргоо сэдэв болно. Хоёр дахь уулзалтын өмнө аль тохиолдолд байгаагаа тодруулах нь нэг хяналтын циклийг хэмнэдэг.
Дараа нь хяналтууд үнэхээр бүтэлгүйтдэг үйл ажиллагааны асуултуудыг шалга: хэн бүртгэл устгадаг, хэр хурдан, дараа нь ямар нотолгоо үлддэг. Устгах журамгүйгээр сайхан баримтжуулсан үнэлгээ ч нээлттэй дүгнэлт хэвээр байна.
Маргаанаар биш, шийдвэрээр дуусга
Солилцоог бичгийн үр дүнгээр дуусга: хүлээн зөвшөөрөгдсөн хувилбар, түүнтэй холбоотой хяналт, нэрлэсэн операторууд, одоо ч дутагдаж буй нотолгоо, түүнийг өгөх хугацаа. Шийдэгдээгүй бүхнийг ерөнхий зөвшөөрлийн мэдэгдэлд шингээхийн оронд нөхцөл болгон тэмдэглэх ёстой.
Хэрэв бодлого тодорхой зөвшөөрөгдсөн бүтээгдэхүүнийг нэрлэвэл хэн ч зөвшөөрөөгүй зэрэгцээ зохицуулалт барихын оронд үл хамаарах замыг ашигла. Итгэл үнэмшилтэй техникийн үндэслэл зөвшөөрөл өгөхгүй бөгөөд албан бус байршуулалт нь илрэхийг хүлээж буй дүгнэлт.
Хэрэв шаардлагыг үнэхээр биелүүлэх боломжгүй бол зөвшөөрөгдсөн хувилбар руу шилжиж, яагаад гэдгийг хэл. Энэ дасгалын зорилго нь байгууллага юунд найдаж болохыг тогтоох бөгөөд тодорхой «үгүй» нь дараа нь хэн ч хамгаалж чадахгүй зөвшөөрлөөс дээр үр дүн.