Ein privat port beviser ikkje noko om programvara bak han

Det er eit rimeleg instinkt: viss berre VPN-en når SSH-lyttaren, er eksponeringa lita og problemet handsama. Eksponering er likevel ikkje det same som integritet. Den fyrste halvdelen er sann, og den andre følgjer ikkje. Tilgjenge styrer kven som kan prøve ei tilkopling; programvareintegritet styrer kva lyttaren gjer når han får ei. Ein port avgrensar publikum og seier ingenting om koden bak han.

Ein privat port er ei mindre dør, ikkje ein annan lås, og den skilnaden avgjer kva du sjekkar neste gong.

To kontrollar, to spørsmål

Ei nettverksavgrensing reduserer eksponeringa. Ho lèt tillatne brukarar, og kvar kompromittert godkjend klient, vere i stand til å nå den råka tenesta. Å rette pakken gjenopprettar programvara, og det snevrar heller ikkje inn ei for brei nettverkstillating. Kvar kontroll gjer sin eigen jobb, og kvar kan vere rett medan den andre manglar. Å gå gjennom dei saman er måten eit team overbeviser seg sjølv om at éin dekkjer begge, og det er nettopp feilen dette stykket handlar om.

VPN-endepunktet er også programvare, og det ber same plikt. Å leggje det til i banen innfører si eiga vedlikehaldsplikt, og det fjernar ikkje ansvaret til forsyningskjeda for noko bak det.

Kva XZ-avsløringa faktisk viste

XZ/liblzma-avsløringa i mars 2024 skildra ei bakdør som kunne føre til kompromittering av ein SSH-server under råka tilhøve. Det var eit programvareintegritetsproblem like mykje som eit eksponeringsproblem, og det var ikkje prov på at kvar Linux-installasjon hadde den sårbare byggjen. Omfanget kjem frå dei råka versjonane og distribusjonane som sende dei, ikkje frå namnet på operativsystemfamilien.

Den skilnaden er skilnaden mellom ein hendingsrespons og eit rykte, og det er verdt å vere pedantisk med det.

Å lukke porten er ikkje gjenoppretting

Viss kompromittering moglegvis allereie har skjedd, er endra tilgjenge ikkje gjenoppretting. Ei bakdør som vart køyrd, har allereie hatt sjansen sin; ein brannmurregel reiser ikkje tilbake i tid. Følg den godkjende hendingsprosessen for verten og for eventuelle eksponerte påloggingsdata, og ta vare på prova som trengst for å fastslå kva som faktisk vart køyrd. Gjenoppbygging frå kjende gode medium er vanlegvis ein del av den samtalen.

Bruk også gjeldande stadfesta råd og utbetringsprosess for distribusjonen, og les lista over råka versjonar i staden for overskrifta. Å kopiere ein historisk nedgraderingskommando til eit urelatert miljø er korleis ei retting blir ei ny eksponering.

Gå gjennom begge, kvar for seg

Still dei to spørsmåla på deira eigne premissar. Kven kan nå lyttaren, og er det publikummet nøyaktig det tenesta er meint for? Kva versjon av programvara er installert, kven signerte artefakten, og korleis får organisasjonen vite om ei dårleg utgåve før ho blir lesen i nyhenda? Svara høyrer til ulike dokument med ulike eigarar, og ingen eigar kan svare på vegner av den andre.

For ein administrert flåte er ei programvareoversikt den kontrollen som i det heile gjer det andre spørsmålet mogleg å svare på. Utan ho blir kvar avsløring eit arkeologiprosjekt med ein frist.

Ein port avgrensar publikum. Integritet avgjer om publikummet betyr noko.