Membaca laporan audit VPN: skop lebih penting daripada lencana

Lencana murah dipaparkan dan mahal ditafsirkan. Laporan audit yang diterbitkan ialah sekeping kerja kejuruteraan yang terbatas: penilai bernama memeriksa komponen bernama, pada versi bernama, dengan kaedah yang dinyatakan dan belanjawan masa. Keempat-empat fakta itu menentukan apa yang boleh disokong oleh kesimpulan, dan biasanya terdapat pada beberapa halaman pertama dan bukan dalam ringkasan pemasaran. Membacanya mengambil masa sepuluh minit dan menghalang kesilapan lazim memanjangkan penemuan tentang aplikasi klien kepada keseluruhan perkhidmatan.

Apa yang sebenarnya dihadkan oleh bahagian skop

Pernyataan skop ialah pagar, dan segala-galanya di luarnya tidak terjawab dan bukan lulus. Laporan menyenaraikan komponen yang diperiksa, julat commit atau pengecam binaan, persekitaran yang digunakan dan model interaksi yang dibenarkan. Klien desktop, aplikasi mudah alih, kod pelayan, backend akaun dan infrastruktur pengeluaran ialah lima subjek berbeza, dan sesuatu tugasan boleh merangkumi mana-mana subset daripadanya.

Pengecualian sama pentingnya dengan penyertaan, kerana ia dinyatakan dengan sengaja dan dibaca dengan cuai. Sistem akaun yang diterangkan sebagai di luar skop tidak dianggap selamat secara tersirat, dan aplikasi mudah alih yang ditinggalkan daripada tugasan sememangnya tidak diperiksa. Tandakan setiap komponen yang tidak diuji dalam nota anda sebagai tidak diketahui, dan tahan dorongan untuk mengisi jurang itu dengan reputasi.

Dua jenis ujian menjawab soalan yang berbeza

Semakan kod sumber dan ujian semasa berjalan mencari kegagalan yang berbeza. Penyemak yang membaca kod boleh mengikut terbitan kunci, melihat pemeriksaan panjang yang hilang dan membuat penaakulan tentang keseluruhan penghurai tanpa melaksanakannya. Penguji terhadap perkhidmatan yang berjalan menemui apa yang sebenarnya dilakukan oleh binaan yang digunakan: sijil yang ditolak oleh aplikasi, protokol sandaran yang masih diaktifkan, titik akhir yang membocorkan sepanduk versi melalui konfigurasi yang tidak disemak oleh sesiapa.

Kedua-duanya tidak menggantikan satu sama lain, dan laporan biasanya menyatakan yang mana dilakukan. Apabila ringkasan berkata «diaudit» tanpa perbezaan itu, kekaburan itu ada pada ringkasan, bukan pada laporan.

Had akses melakukan kerja yang sama. Tugasan kotak hitam tidak dapat melihat konfigurasi pelayan, dan semakan seni bina yang tidak pernah menyentuh titik akhir yang digunakan tidak dapat menyedari bahawa pengeluaran berbeza daripada rajah. Kedua-duanya sah; mencampurkan hasilnya tidak.

Bagaimana penemuan menjadi versi yang dibetulkan

Separuh berharga sesuatu laporan ialah jadual pemulihan: setiap penemuan, keterukannya mengikut kaedah penilai, respons pengendali dan hasil ujian semula. Nombor keterukan datang daripada metodologi yang dipilih dan bukan daripada alam, jadi bandingkan keterukan dalam satu laporan dan bukan antara dua laporan dengan skala berbeza.

Kemudian hubungkan pembetulan dengan perisian yang dikeluarkan. Penemuan yang dibetulkan hanya penting kepada pengguna apabila versi yang membawa pembetulan itulah yang dipasang, kerana itu pengecam binaan laporan dan log perubahan keluaran perlu dibaca bersama. Ujian semula yang meliputi pembetulan menutup gelung; pembetulan yang tidak diuji ialah dakwaan. Begitu juga pembetulan yang dikeluarkan hanya dalam cabang yang tidak pernah digabungkan oleh mana-mana keluaran stabil.

Apa yang lencana tidak dapat beritahu anda

Ketiadaan penemuan bukan bukti ketiadaan kecacatan. Tugasan singkat dengan belanjawan tetap akan terlepas sesuatu, dan bacaan jujur laporan yang bersih ialah penilai tidak menemui kelas masalah yang dicari dalam masa yang tersedia.

Lencana juga tidak boleh bercakap tentang sifat di luar skopnya. Dakwaan tentang amalan pengelogan, bidang kuasa atau penyimpanan hidup dalam dokumen dasar, bukan dalam audit aplikasi klien, dan tiada reputasi penilai melintasi sempadan itu.

Merekod bukti yang boleh anda pertahankan

Tulis petikan dalam tiga bahagian: komponen, versi dan pembetulan yang disahkan. Tugasan terbitan seperti audit VPN yang diarahkan oleh Mozilla menyokong tepat pernyataan yang diterangkan oleh skopnya dan tiada yang lebih luas, yang masih cukup bernilai apabila petikan itu tepat. Laporan yang sama dipetik untuk sesuatu yang tidak pernah diperiksanya bernilai kurang daripada tiada petikan, kerana ia menjemput keyakinan yang tidak diperoleh sesiapa.

Apabila sifat yang didakwa terletak di luar setiap laporan yang tersedia, biarkan ia tidak diselesaikan dalam dokumen. Baris yang tidak diselesaikan menjemput soalan susulan; lencana tidak. Satu-satunya pengecualian ialah sifat yang diselesaikan oleh dokumen lain yang sama khusus, dan kemudian petikan yang berubah, bukan dakwaan.

Dua lagi tabiat menjadikan bacaan itu tahan lama: catat tarikh laporan berbanding keluaran yang benar-benar anda jalankan, dan simpan perbezaan antara apa yang diuji dan apa yang anda gunakan. Kedua-duanya menjadikan keputusan kepercayaan sebagai sesuatu yang boleh disemak oleh rakan sekerja.