Mengapa VPN sumber terbuka ditolak dalam perolehan
Penyemak yang membantah sumber terbuka biasanya melindungi keperluan, bukan citarasa lesen. Tanya yang mana, kemudian hasilkan artifak yang menjawabnya.
Penolakan yang menyebut sumber terbuka jarang bergantung pada pelesenan. Penyemak biasanya melindungi keperluan: bahawa seseorang menyelenggara keluaran yang digunakan, bahawa binaan yang dipasang dapat dikenal pasti, bahawa penilaian meliputi apa yang disambungkan, atau bahawa sambungan boleh ditarik balik. Perdebatan berikutnya biasanya menjawab soalan yang tidak ditanya oleh sesiapa.
Tanya keperluan mana yang terpakai sebelum mempertahankan lesen. Jawapannya menentukan dokumen yang anda perlukan.
Label bukan keperluannya
Kod sumber yang boleh dibaca bermakna pelaksanaan yang diterbitkan boleh diperiksa. Ia tidak bermakna seseorang telah memeriksanya, bahawa binaan di get laluan sepadan dengan yang diterbitkan, atau bahawa penyelenggara berhutang pembetulan kepada penggunaan anda. Setiap satu adalah dakwaan berasingan dengan pemilik berasingan, dan penyemak yang memerlukan salah satunya tidak akan berpuas hati dengan yang lain. Menyebut dakwaan itu dengan lantang biasanya cukup untuk mengubah perbualan.
Kesilapan sebaliknya juga sama biasa. Lesen komersial tidak membuktikan sokongan meliputi ciri yang anda bergantung padanya, bahawa penilaian telah meneliti komponen yang anda gunakan, atau bahawa vendor akan menghantar pembetulan dalam tetingkap penyelenggaraan anda. Pelesenan menerangkan syarat pengedaran, manakala keputusan perolehan berkaitan kebergantungan. Dalam apa jua keadaan, lesen ialah bahagian paling kurang bermaklumat dalam jawapan.
Pisahkan juga klien dan perkhidmatan. Audit klien meja tidak menyatakan apa-apa tentang konfigurasi get laluan rakan kongsi, penyedia identitinya atau cara pengendalinya mengendalikan pembuangan akaun. Bukti apa pun yang anda kumpulkan mesti sepadan dengan sempadan yang diminta untuk dipercayai oleh rakan kongsi.
Jadikan kebimbangan artifak
Minta pelulus menyatakan keperluan dalam satu ayat, kemudian namakan artifak yang akan memenuhinya. Ketenteraman yang kabur itulah yang menjadikan perbualan ini perdebatan tentang ideologi.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework berguna di sini kerana satu sebab sempit: ia membingkai perbualan perolehan di sekitar kosa kata bersama tentang amalan dan komunikasi pembekal. Ini menyokong permintaan bukti yang jelas dan bukannya bertengkar tentang label, dan ia bukan pensijilan yang dilalui oleh mana-mana VPN tertentu.
Perhatikan apa yang dilakukan lajur tengah. Setiap baris meminta dokumen yang sama ada wujud atau tidak, yang mengubah pendapat menjadi hasil yang boleh dihasilkan atau ditolak oleh seseorang.
Pisahkan klien daripada perkhidmatan
Kontrak sokongan untuk aplikasi klien bukan komitmen tentang pelayan yang dicapai oleh trafik anda. Sebelum menyampaikan bukti, tandakan bahagian laluan yang dikendalikan oleh rakan kongsi dan bahagian yang anda kendalikan bagi pihaknya. Mencampurkan kedua-duanya menghasilkan paket dokumen yang kelihatan menyeluruh dan tidak menjawab apa-apa.
Jika penggunaan itu milik anda, rakan kongsi mungkin hanya perlu mempercayai identiti dan peraturan akses, yang merupakan permintaan jauh lebih kecil daripada mempercayai seluruh rantaian bekalan perisian anda. Jika penggunaan itu miliknya, klien yang anda pilih mungkin tidak relevan dan konfigurasi get laluan menjadi pokoknya. Menentukan kes mana yang anda hadapi sebelum mesyuarat kedua menjimatkan satu kitaran semakan.
Kemudian periksa soalan operasi yang benar-benar menyebabkan semakan gagal: siapa yang membuang akaun, berapa cepat, dan bukti apa yang wujud selepas itu. Penilaian yang didokumenkan dengan indah tanpa prosedur pembuangan tetap merupakan penemuan terbuka.
Akhiri dengan keputusan, bukan perdebatan
Akhiri pertukaran dengan hasil bertulis: versi yang diterima, kawalan yang dilampirkan padanya, pengendali yang dinamakan, bukti yang masih belum ada dan tarikh ia perlu dikemukakan. Apa-apa yang belum selesai harus direkodkan sebagai syarat dan bukannya diserap ke dalam pernyataan kelulusan umum.
Jika dasar menamakan produk yang diluluskan secara khusus, gunakan laluan pengecualian dan bukannya membina pengaturan selari yang tidak dibenarkan oleh sesiapa. Hujah teknikal yang meyakinkan tidak memberikan kebenaran, dan penggunaan tidak rasmi ialah penemuan yang menunggu untuk ditemui.
Jika sesuatu keperluan benar-benar tidak dapat dipenuhi, beralih kepada alternatif yang diluluskan dan katakan sebabnya. Tujuan latihan ini adalah untuk menetapkan apa yang organisasi boleh bergantung padanya, dan tidak yang jelas ialah hasil yang lebih baik daripada kelulusan yang tidak dapat dipertahankan oleh sesiapa kemudian.