การอ่านรายงานตรวจสอบ VPN: ขอบเขตสำคัญกว่าตรา

ตราแสดงได้ถูกแต่ตีความได้แพง รายงานการตรวจสอบที่เผยแพร่คือชิ้นงานวิศวกรรมที่มีขอบเขตจำกัด: ผู้ประเมินที่ระบุชื่อตรวจสอบองค์ประกอบที่ระบุชื่อ ในเวอร์ชันที่ระบุชื่อ ด้วยวิธีที่ประกาศและงบประมาณเวลา ข้อเท็จจริงสี่ประการนี้กำหนดว่าข้อสรุปสามารถสนับสนุนอะไรได้ และมักอยู่ในหน้าแรกๆ ไม่ใช่ในบทสรุปการตลาด การอ่านใช้เวลาสิบนาทีและป้องกันข้อผิดพลาดทั่วไปในการขยายสิ่งที่พบในแอปไคลเอนต์ไปทั้งบริการ

ส่วนขอบเขตจำกัดอะไรจริงๆ

ถ้อยแถลงขอบเขตคือรั้ว และทุกสิ่งนอกนั้นยังไม่ได้รับคำตอบไม่ใช่ผ่าน รายงานระบุองค์ประกอบที่ตรวจสอบ ช่วงคอมมิตหรือตัวระบุบิลด์ สภาพแวดล้อมที่ใช้ และรูปแบบการโต้ตอบที่อนุญาต ไคลเอนต์เดสก์ท็อป แอปมือถือ โค้ดเซิร์ฟเวอร์ แบ็กเอนด์บัญชี และโครงสร้างพื้นฐานการผลิตเป็นห้าวิชาที่แตกต่างกัน และงานหนึ่งสามารถครอบคลุมสับเซตใดก็ได้

การยกเว้นสำคัญพอๆ กับการรวม เพราะระบุไว้โดยเจตนาและอ่านอย่างไม่ระวัง ระบบบัญชีที่อธิบายว่าอยู่นอกขอบเขตไม่ได้หมายความว่าปลอดภัยโดยนัย และแอปมือถือที่ถูกทิ้งไว้นอกงานก็เพียงแต่ไม่ได้รับการตรวจสอบ ทำเครื่องหมายทุกองค์ประกอบที่ไม่ได้ทดสอบในบันทึกของคุณว่าไม่ทราบ และต้านทานแรงดึงดูดที่จะเติมช่องว่างด้วยชื่อเสียง

การทดสอบสองแบบตอบคำถามต่างกัน

การทบทวนซอร์สโค้ดและการทดสอบขณะทำงานมองหาความล้มเหลวต่างกัน ผู้ทบทวนที่อ่านโค้ดสามารถติดตามการสร้างคีย์ สังเกตการตรวจความยาวที่ขาดหาย และให้เหตุผลเกี่ยวกับตัวแยกวิเคราะห์ทั้งหมดโดยไม่ต้องรันมัน ผู้ทดสอบกับบริการที่ทำงานอยู่ค้นพบว่าไคลเอนต์ที่ปรับใช้ทำอะไรจริงๆ: ใบรับรองที่แอปปฏิเสธ โปรโตคอลสำรองที่ยังเปิดอยู่ ปลายทางที่รั่วแบนเนอร์เวอร์ชันผ่านการกำหนดค่าที่ไม่มีใครตรวจทาน

ทั้งสองไม่แทนกัน และรายงานมักระบุว่าได้ทำแบบใด เมื่อบทสรุปกล่าวว่า «ตรวจสอบแล้ว» โดยไม่มีความแตกต่างนั้น ความกำกวมอยู่ที่บทสรุป ไม่ใช่ที่รายงาน

ขีดจำกัดการเข้าถึงทำหน้าที่เดียวกัน งานแบบกล่องดำไม่สามารถเห็นการกำหนดค่าเซิร์ฟเวอร์ และการทบทวนสถาปัตยกรรมที่ไม่เคยแตะปลายทางที่ปรับใช้ไม่สามารถสังเกตได้ว่าการผลิตแตกต่างจากแผนภาพ ทั้งสองชอบด้วยเหตุผล การผสมผลลัพธ์ของทั้งสองไม่ใช่

สิ่งที่พบกลายเป็นเวอร์ชันที่แก้ไขแล้วได้อย่างไร

ครึ่งที่มีค่าของรายงานคือตารางการแก้ไข: แต่ละสิ่งที่พบ ความรุนแรงตามวิธีของผู้ประเมิน การตอบสนองของผู้ดำเนินการ และผลของการทดสอบซ้ำ ตัวเลขความรุนแรงมาจากระเบียบวิธีที่เลือกไม่ใช่จากธรรมชาติ ดังนั้นเปรียบเทียบความรุนแรงภายในรายงานเดียว ไม่ใช่ระหว่างสองรายงานที่มีมาตรวัดต่างกัน

จากนั้นเชื่อมการแก้ไขกับซอฟต์แวร์ที่เผยแพร่ สิ่งที่พบซึ่งแก้ไขแล้วมีความสำคัญต่อผู้ใช้ก็ต่อเมื่อเวอร์ชันที่นำการแก้ไขนั้นคือเวอร์ชันที่ติดตั้ง ซึ่งเป็นเหตุผลว่าทำไมตัวระบุบิลด์ของรายงานและบันทึกการเปลี่ยนแปลงของการเผยแพร่ต้องอ่านคู่กัน การทดสอบซ้ำที่ครอบคลุมการแก้ไขปิดวงจร การแก้ไขที่ไม่ได้ทดสอบคือคำกล่าวอ้าง เช่นเดียวกับการแก้ไขที่เผยแพร่เฉพาะในสาขาที่ไม่มีการเผยแพร่ที่เสถียรใดๆ รวมเข้าด้วย

สิ่งที่ตราบอกคุณไม่ได้

การไม่มีสิ่งที่พบไม่ใช่หลักฐานของการไม่มีข้อบกพร่อง งานสั้นที่มีงบประมาณคงที่จะพลาดบางสิ่ง และการอ่านรายงานที่สะอาดอย่างซื่อสัตย์คือผู้ประเมินไม่พบประเภทปัญหาที่ค้นหาในเวลาที่มีอยู่

ตรายัง ไม่สามารถพูดแทนคุณสมบัติที่อยู่นอกขอบเขตของตนได้. คำกล่าวอ้างเกี่ยวกับแนวปฏิบัติการบันทึก เขตอำนาจ หรือการเก็บรักษาอยู่ในเอกสารนโยบาย ไม่ใช่ในการตรวจสอบแอปไคลเอนต์ และชื่อเสียงของผู้ประเมินไม่ผ่านพ้นขอบเขตนั้น

การบันทึกหลักฐานที่คุณสามารถปกป้องได้

เขียนการอ้างอิงเป็นสามส่วน: องค์ประกอบ เวอร์ชัน และการแก้ไขที่ตรวจสอบแล้ว งานที่เผยแพร่เช่น การตรวจสอบ VPN ที่ Mozilla มอบหมาย สนับสนุนเฉพาะข้อความที่ขอบเขตของตนอธิบายไว้และไม่กว้างกว่านั้น ซึ่งยังมีค่ามากเมื่อการอ้างอิงแม่นยำ รายงานเดียวกันที่ถูกอ้างถึงในสิ่งที่มันไม่เคยตรวจสอบมีค่าน้อยกว่าการไม่อ้างอิงเลย เพราะมันเชื้อเชิญความเชื่อมั่นที่ไม่มีใครได้รับ

เมื่อคุณสมบัติที่อ้างอยู่นอกทุกรายงานที่มีอยู่ ให้ปล่อยไว้ไม่คลี่คลายในเอกสาร บรรทัดที่ไม่คลี่คลายเชื้อเชิญคำถามติดตาม แต่ตราไม่ ข้อยกเว้นเดียวคือคุณสมบัติที่เอกสารอื่นที่เฉพาะเจาะจงเท่ากันคลี่คลาย และแล้วการอ้างอิงเปลี่ยนไม่ใช่ข้อกล่าวอ้าง

อีกสองนิสัยทำให้การอ่านคงทน: บันทึกวันที่ของรายงานเทียบกับการเผยแพร่ที่คุณรันจริง และเก็บความแตกต่างระหว่างสิ่งที่ทดสอบกับสิ่งที่คุณปรับใช้ ทั้งสองเปลี่ยนการตัดสินใจเรื่องความไว้วางใจเป็นสิ่งที่เพื่อนร่วมงานตรวจสอบได้