Port persendirian tidak memperakui perisian di belakangnya

Ini naluri yang munasabah: jika hanya VPN sampai ke pendengar SSH, pendedahan kecil dan masalahnya selesai. Namun pendedahan tidak sama dengan integriti. Separuh pertama benar dan separuh kedua tidak menyusul daripadanya. Kebolehcapaian mengawal siapa yang boleh mencuba sambungan; integriti perisian mengawal apa yang akan dilakukan pendengar apabila menerima sambungan. Gerbang menyempitkan audiens dan tidak berkata apa-apa tentang kod di belakangnya.

Port persendirian ialah pintu yang lebih kecil, bukan kunci yang berbeza, dan perbezaan itulah yang menentukan apa yang anda semak seterusnya.

Dua kawalan, dua soalan

Sekatan rangkaian mengurangkan pendedahan. Ia membiarkan pengguna yang dibenarkan, dan mana-mana klien diluluskan yang telah dikompromi, mampu mencapai perkhidmatan yang terjejas. Membetulkan pakej memulihkan perisian, dan ia juga tidak menyempitkan kebenaran rangkaian yang terlalu luas. Setiap kawalan menjalankan tugasnya sendiri, dan setiap satu boleh betul manakala yang lain tiada. Menyemaknya bersama-sama ialah cara pasukan meyakinkan dirinya bahawa satu meliputi kedua-duanya, dan itulah kesilapan khusus yang dibincangkan tulisan ini.

Titik akhir VPN juga perisian, dan ia memikul kewajipan yang sama. Menambahnya ke laluan membawa kewajipan penyelenggaraannya sendiri, dan ia tidak menghapuskan tanggungjawab rantaian bekalan untuk apa-apa di belakangnya.

Apa yang sebenarnya ditunjukkan oleh pendedahan XZ

Pendedahan XZ/liblzma pada Mac 2024 menerangkan pintu belakang yang boleh membawa kepada kompromi pelayan SSH dalam keadaan terjejas. Ia adalah masalah integriti perisian sama seperti masalah pendedahan, dan ia bukan bukti bahawa setiap pemasangan Linux membawa binaan yang terdedah. Skop datang daripada versi terjejas dan distribusi yang menghantarnya, bukan daripada nama keluarga sistem pengendalian.

Perbezaan itu ialah perbezaan antara tindak balas insiden dan khabar angin, dan ia wajar untuk teliti mengenainya.

Menutup port bukan pemulihan

Jika kompromi mungkin sudah berlaku, menukar kebolehcapaian bukan pemulihan. Pintu belakang yang telah dilaksanakan sudah mendapat peluangnya; peraturan firewall tidak bergerak ke belakang dalam masa. Ikuti proses insiden yang diluluskan untuk hos dan untuk sebarang kelayakan yang terdedah, dan simpan bukti yang diperlukan untuk menetapkan apa yang sebenarnya dilaksanakan. Membina semula daripada media yang diketahui baik biasanya sebahagian daripada perbualan itu.

Gunakan juga nasihat disahkan semasa distribusi dan proses pemulihannya, dan baca senarai versi terjejas dan bukan tajuk berita. Menyalin arahan penurunan taraf sejarah ke persekitaran yang tidak berkaitan ialah cara pembetulan menjadi pendedahan baharu.

Semak kedua-duanya, secara berasingan

Ajukan kedua-dua soalan dengan istilahnya sendiri. Siapa yang boleh sampai ke pendengar, dan adakah audiens itu tepat audiens yang dimaksudkan oleh perkhidmatan? Versi perisian manakah yang dipasang, siapa yang menandatangani artifak, dan bagaimana organisasi mengetahui keluaran buruk sebelum membacanya dalam berita? Jawapan tergolong dalam dokumen berbeza dengan pemilik berbeza, dan tiada pemilik boleh menjawab bagi pihak yang lain.

Bagi armada terurus, inventori perisian ialah kawalan yang membuat soalan kedua boleh dijawab sama sekali. Tanpanya, setiap pendedahan menjadi projek arkeologi dengan tarikh akhir.

Gerbang menyempitkan audiens. Integriti menentukan sama ada audiens itu penting.