Prywatny port nie poświadcza oprogramowania za nim

To rozsądny odruch: jeśli tylko VPN dociera do nasłuchującego SSH, ekspozycja jest mała, a problem rozwiązany. Ekspozycja nie jest jednak równoznaczna z integralnością. Pierwsza połowa jest prawdziwa, a druga z niej nie wynika. Osiągalność kontroluje, kto może spróbować połączenia; integralność oprogramowania kontroluje, co nasłuchujący zrobi, gdy je otrzyma. Brama zawęża publiczność i nic nie mówi o kodzie za nią.

Prywatny port to mniejsze drzwi, a nie inny zamek, i ta różnica decyduje, co sprawdzisz dalej.

Dwie kontrole, dwa pytania

Ograniczenie sieciowe zmniejsza ekspozycję. Pozostawia dopuszczonych użytkowników oraz każdego przejętego zatwierdzonego klienta w stanie dotarcia do dotkniętej usługi. Poprawienie pakietu przywraca oprogramowanie i nie zawęża też zbyt szerokiego uprawnienia sieciowego. Każda kontrola robi swoje, a każda może być poprawna, gdy drugiej brakuje. Rozpatrywanie ich razem to sposób, w jaki zespół przekonuje sam siebie, że jedna obejmuje obie, i to jest właśnie błąd, o którym jest ten tekst.

Punkt końcowy VPN też jest oprogramowaniem i nosi ten sam obowiązek. Dodanie go do ścieżki wprowadza własny obowiązek utrzymania i nie usuwa odpowiedzialności łańcucha dostaw za nic za nim.

Co ujawnienie XZ faktycznie pokazało

Ujawnienie XZ/liblzma z marca 2024 r. opisywało backdoor, który w danych warunkach mógł prowadzić do przejęcia serwera SSH. Był to problem integralności oprogramowania w takim samym stopniu jak problem ekspozycji, i nie był dowodem, że każda instalacja Linuksa miała podatną kompilację. Zakres wynika z dotkniętych wersji i dystrybucji, które je dostarczyły, a nie z nazwy rodziny systemów operacyjnych.

Ta różnica to różnica między reakcją na incydent a plotką, i warto być w tym pedantycznym.

Zamknięcie portu nie jest odzyskaniem

Jeśli do przejęcia mogło już dojść, zmiana osiągalności nie jest odzyskaniem. Backdoor, który się wykonał, miał już swoją szansę; reguła zapory sieciowej nie podróżuje w czasie. Postępuj zgodnie z zatwierdzoną procedurą incydentową dla hosta i wszelkich ujawnionych poświadczeń oraz zachowaj dowody potrzebne do ustalenia, co faktycznie zostało wykonane. Odbudowa z znanych dobrych nośników zwykle jest częścią tej rozmowy.

Skorzystaj też z aktualnego zweryfikowanego biuletynu dystrybucji i jej procesu naprawczego, i czytaj listę dotkniętych wersji zamiast nagłówka. Kopiowanie historycznego polecenia downgrade do niepowiązanego środowiska to sposób, w jaki poprawka staje się nową ekspozycją.

Sprawdź oba, osobno

Zadaj oba pytania ich własnymi słowami. Kto może dotrzeć do nasłuchującego, i czy ta publiczność jest dokładnie tą, dla której usługa jest przeznaczona? Która wersja oprogramowania jest zainstalowana, kto podpisał artefakt, i jak organizacja dowiaduje się o złym wydaniu, zanim przeczyta o nim w wiadomościach? Odpowiedzi należą do różnych dokumentów z różnymi właścicielami, i żaden właściciel nie może odpowiedzieć za drugiego.

Dla zarządzanej floty inwentarz oprogramowania to kontrola, która w ogóle czyni drugie pytanie odpowiadalnym. Bez niego każde ujawnienie staje się projektem archeologicznym z terminem.

Brama zawęża publiczność. Integralność decyduje, czy publiczność ma znaczenie.