Privatni port ne svedoči o softveru iza sebe

To je razuman instinkt: ako samo VPN stiže do SSH slušaoca, izloženost je mala i problem je rešen. Izloženost ipak nije isto što i celovitost. Prva polovina je tačna, a druga iz nje ne sledi. Dostupnost kontroliše kome je dozvoljeno da pokuša vezu; celovitost softvera kontroliše šta će slušalac uraditi kada je dobije. Kapija sužava publiku i ne govori ništa o kodu iza nje.

Privatni port su manja vrata, a ne druga brava, i ta razlika odlučuje šta ćete sledeće proveriti.

Dve kontrole, dva pitanja

Mrežno ograničenje smanjuje izloženost. Ono ostavlja dozvoljene korisnike, i svakog kompromitovanog odobrenog klijenta, u stanju da dosegnu pogođenu uslugu. Ispravljanje paketa vraća softver i pritom ne sužava preširoku mrežnu dozvolu. Svaka kontrola radi svoj posao i svaka može biti ispravna dok druga nedostaje. Zajednički pregled je način na koji se tim uverava da jedna pokriva oboje, a to je upravo greška o kojoj govori ovaj tekst.

VPN krajnja tačka je takođe softver i nosi istu obavezu. Dodavanje u put uvodi sopstvenu obavezu održavanja i ne uklanja odgovornost lanca snabdevanja za sve iza nje.

Šta je objava o XZ-u zapravo pokazala

Objava o XZ/liblzma iz marta 2024. opisala je zadnja vrata koja su pod pogođenim uslovima mogla dovesti do kompromitacije SSH servera. Bio je to problem celovitosti softvera koliko i problem izloženosti, i nije bio dokaz da svaka Linux instalacija nosi ranjivi build. Obim dolazi iz pogođenih verzija i distribucija koje su ih isporučile, a ne iz imena porodice operativnog sistema.

Ta razlika je razlika između reakcije na incident i glasine, i vredi biti pedantan u vezi s tim.

Zatvaranje porta nije oporavak

Ako se kompromitacija možda već dogodila, menjanje dostupnosti nije oporavak. Zadnja vrata koja su se izvršila već su imala svoju priliku; firewall pravilo ne putuje unazad kroz vreme. Sledite odobreni proces za incidente za host i za sve izložene pristupne podatke, i sačuvajte dokaze potrebne da se utvrdi šta se zaista izvršilo. Ponovna izgradnja sa poznatih ispravnih medija obično je deo tog razgovora.

Koristite i trenutni provereni savet i proces sanacije distribucije, i čitajte spisak pogođenih verzija umesto naslova. Kopiranje istorijske komande za vraćanje verzije u nepovezano okruženje je način na koji popravka postaje nova izloženost.

Pregledajte oboje, odvojeno

Postavite dva pitanja njihovim sopstvenim rečima. Ko može dosegnuti slušaoca i da li je ta publika tačno ona kojoj je usluga namenjena? Koja verzija softvera je instalirana, ko je potpisao artefakt i kako organizacija sazna za loše izdanje pre nego što to pročita u vestima? Odgovori pripadaju različitim dokumentima sa različitim vlasnicima, i nijedan vlasnik ne može odgovoriti za drugog.

Za upravljanu flotu, inventar softvera je kontrola koja uopšte čini drugo pitanje odgovorivim. Bez njega svaka objava postaje arheološki projekat s rokom.

Kapija sužava publiku. Celovitost odlučuje da li je publika važna.