En privat port intygar inte programvaran bakom den

Det är en rimlig instinkt: om bara VPN:n når SSH-lyssnaren är exponeringen liten och problemet hanterat. Exponering är dock inte detsamma som integritet. Den första halvan är sann och den andra följer inte. Nåbarhet styr vem som får försöka en anslutning; programvaruintegritet styr vad lyssnaren gör när den får en. En port begränsar publiken och säger ingenting om koden bakom den.

En privat port är en mindre dörr, inte ett annat lås, och den skillnaden avgör vad du kontrollerar härnäst.

Två kontroller, två frågor

En nätverksbegränsning minskar exponeringen. Den lämnar tillåtna användare, och varje komprometterad godkänd klient, i stånd att nå den berörda tjänsten. Att rätta paketet återställer programvaran, och det minskar inte heller en alltför bred nätverkstillåtelse. Varje kontroll gör sitt eget jobb, och var och en kan vara korrekt medan den andra saknas. Att granska dem tillsammans är hur ett team övertygar sig om att en täcker båda, och det är precis det fel som den här texten handlar om.

VPN-slutpunkten är också programvara, och den bär samma skyldighet. Att lägga till den i vägen inför en egen underhållsskyldighet, och det tar inte bort leveranskedjeansvaret för något bakom den.

Vad XZ-avslöjandet faktiskt visade

XZ/liblzma-avslöjandet i mars 2024 beskrev en bakdörr som under berörda förhållanden kunde leda till kompromettering av en SSH-server. Det var ett programvaruintegritetsproblem lika mycket som ett exponeringsproblem, och det var inte bevis för att varje Linux-installation hade det sårbara bygget. Omfattningen kommer från de berörda versionerna och distributionerna som levererade dem, inte från namnet på operativsystemfamiljen.

Den skillnaden är skillnaden mellan en incidentrespons och ett rykte, och det är värt att vara pedantisk om det.

Att stänga porten är inte återställning

Om kompromettering möjligen redan har skett är ändrad nåbarhet inte återställning. En bakdörr som kördes har redan fått sin chans; en brandväggsregel reser inte tillbaka i tiden. Följ den godkända incidentprocessen för värden och för eventuella exponerade inloggningsuppgifter, och bevara bevisen som behövs för att fastställa vad som faktiskt kördes. Återuppbyggnad från kända goda medier är vanligtvis en del av det samtalet.

Använd också distributionens aktuella verifierade rådgivning och åtgärdsprocess, och läs listan över berörda versioner i stället för rubriken. Att kopiera ett historiskt nedgraderingskommando till en orelaterad miljö är hur en rättelse blir en ny exponering.

Granska båda, var för sig

Ställ de två frågorna på deras egna villkor. Vem kan nå lyssnaren, och är den publiken exakt den som tjänsten är avsedd för? Vilken version av programvaran är installerad, vem signerade artefakten, och hur får organisationen veta om en dålig version innan den läser om det i nyheterna? Svaren hör till olika dokument med olika ägare, och ingen ägare kan svara för den andra.

För en hanterad flotta är en programvaruförteckning den kontroll som överhuvudtaget gör den andra frågan möjlig att besvara. Utan den blir varje avslöjande ett arkeologiprojekt med en deadline.

En port begränsar publiken. Integritet avgör om publiken spelar någon roll.