En privat port beviser ikke noe om programvaren bak den

Det er en rimelig instinkt: hvis bare VPN-en når SSH-lytteren, er eksponeringen liten og problemet håndtert. Eksponering er likevel ikke det samme som integritet. Den første halvdelen er sann, og den andre følger ikke. Tilgjengelighet styrer hvem som kan forsøke en tilkobling; programvareintegritet styrer hva lytteren gjør når den får en. En port begrenser publikum og sier ingenting om koden bak den.

En privat port er en mindre dør, ikke en annen lås, og den forskjellen avgjør hva du sjekker neste gang.

To kontroller, to spørsmål

En nettverksbegrensning reduserer eksponeringen. Den lar tillatte brukere, og enhver kompromittert godkjent klient, være i stand til å nå den berørte tjenesten. Å rette pakken gjenoppretter programvaren, og det snevrer heller ikke inn en for bred nettverkstillatelse. Hver kontroll gjør sin egen jobb, og hver kan være riktig mens den andre mangler. Å gjennomgå dem sammen er måten et team overbeviser seg selv om at én dekker begge, og det er nettopp feilen dette stykket handler om.

VPN-endepunktet er også programvare, og det bærer samme forpliktelse. Å legge det til i banen innfører sin egen vedlikeholdsforpliktelse, og det fjerner ikke forsyningskjedens ansvar for noe bak det.

Hva XZ-avsløringen faktisk viste

XZ/liblzma-avsløringen i mars 2024 beskrev en bakdør som kunne føre til kompromittering av en SSH-server under berørte forhold. Det var et programvareintegritetsproblem like mye som et eksponeringsproblem, og det var ikke bevis for at enhver Linux-installasjon hadde det sårbare bygget. Omfanget kommer fra de berørte versjonene og distribusjonene som sendte dem, ikke fra navnet på operativsystemfamilien.

Den forskjellen er forskjellen mellom en hendelsesrespons og et rykte, og det er verdt å være pedantisk med det.

Å lukke porten er ikke gjenoppretting

Hvis kompromittering muligens allerede har skjedd, er endret tilgjengelighet ikke gjenoppretting. En bakdør som ble kjørt, har allerede hatt sin sjanse; en brannmurregel reiser ikke tilbake i tid. Følg den godkjente hendelsesprosessen for verten og for eventuelle eksponerte påloggingsdata, og ta vare på bevisene som trengs for å fastslå hva som faktisk ble kjørt. Gjenoppbygging fra kjente gode medier er vanligvis en del av den samtalen.

Bruk også distribusjonens gjeldende verifiserte råd og utbedringsprosess, og les listen over berørte versjoner i stedet for overskriften. Å kopiere en historisk nedgraderingskommando til et urelatert miljø er hvordan en rettelse blir en ny eksponering.

Gå gjennom begge, hver for seg

Still de to spørsmålene på deres egne premisser. Hvem kan nå lytteren, og er det publikummet nøyaktig det tjenesten er ment for? Hvilken versjon av programvaren er installert, hvem signerte artefakten, og hvordan får organisasjonen vite om en dårlig utgivelse før den leses i nyhetene? Svarene hører til forskjellige dokumenter med forskjellige eiere, og ingen eier kan svare på den andres vegne.

For en administrert flåte er en programvareoversikt den kontrollen som overhodet gjør det andre spørsmålet mulig å besvare. Uten den blir hver avsløring et arkeologiprosjekt med en frist.

En port begrenser publikum. Integritet avgjør om publikummet betyr noe.