Súkromný port nedokladá softvér, ktorý je za ním

Je to rozumný inštinkt: ak sa k SSH poslucháčovi dostane len VPN, expozícia je malá a problém je vyriešený. Expozícia však neznamená integritu. Prvá polovica je pravdivá a druhá z nej nevyplýva. Dostupnosť určuje, kto smie skúsiť pripojenie; integrita softvéru určuje, čo poslucháč urobí, keď ho dostane. Brána zužuje publikum a o kóde za ňou nehovorí nič.

Súkromný port sú menšie dvere, nie iná zámka, a tento rozdiel rozhoduje, čo budete kontrolovať ďalej.

Dve kontroly, dve otázky

Sieťové obmedzenie znižuje expozíciu. Ponecháva povoleným používateľom, a akémukoľvek kompromitovanému schválenému klientovi, schopnosť dosiahnuť dotknutú službu. Oprava balíka obnovuje softvér a tiež nezužuje príliš široké sieťové oprávnenie. Každá kontrola robí svoju prácu a každá môže byť správna, kým druhá chýba. Ich spoločné posudzovanie je spôsob, akým sa tím presvedčí, že jedna pokrýva obe, a to je práve tá chyba, o ktorej je tento text.

Koncový bod VPN je tiež softvér a nesie rovnakú povinnosť. Jeho pridanie do cesty zavádza vlastnú povinnosť údržby a neodstraňuje zodpovednosť dodávateľského reťazca za nič za ním.

Čo zverejnenie XZ skutočne ukázalo

Zverejnenie XZ/liblzma z marca 2024 opísalo zadné dvierka, ktoré mohli za dotknutých podmienok viesť ku kompromitácii SSH servera. Bol to problém integrity softvéru rovnako ako problém expozície a nebol dôkazom, že každá inštalácia Linuxu niesla zraniteľné zostavenie. Rozsah vychádza z dotknutých verzií a distribúcií, ktoré ich dodali, nie z názvu rodiny operačných systémov.

Tento rozdiel je rozdiel medzi reakciou na incident a fámou a stojí za pedantnosť.

Zatvorenie portu nie je obnova

Ak ku kompromitácii už mohlo dôjsť, zmena dostupnosti nie je obnova. Zadné dvierka, ktoré sa vykonali, už dostali svoju príležitosť; pravidlo firewallu necestuje späť v čase. Postupujte podľa schváleného procesu pre incidenty pre hostiteľa aj akékoľvek exponované prihlasovacie údaje a uchovajte dôkazy potrebné na určenie toho, čo sa skutočne vykonalo. Prestavba z overených médií je zvyčajne súčasťou tohto rozhovoru.

Použite aj aktuálne overené odporúčanie a proces nápravy distribúcie a čítajte zoznam dotknutých verzií, nie titulok. Kopírovanie historického príkazu na downgrade do nesúvisiaceho prostredia je spôsob, akým sa z opravy stane nová expozícia.

Preverte oboje, oddelene

Položte obe otázky ich vlastnými slovami. Kto sa môže dostať k poslucháčovi a je to publikum presne to, pre ktoré je služba určená? Ktorá verzia softvéru je nainštalovaná, kto podpísal artefakt a ako sa organizácia dozvie o zlom vydaní skôr, než si o ňom prečíta v správach? Odpovede patria do rôznych dokumentov s rôznymi vlastníkmi a žiadny vlastník nemôže odpovedať za druhého.

Pre spravovanú flotilu je inventár softvéru kontrola, ktorá vôbec umožňuje zodpovedať druhú otázku. Bez neho sa každé zverejnenie stáva archeologickým projektom s termínom.

Brána zužuje publikum. Integrita rozhoduje, či na publiku záleží.