พอร์ตส่วนตัวไม่ได้ยืนยันซอฟต์แวร์ที่อยู่ข้างหลัง

นี่เป็นสัญชาตญาณที่สมเหตุสมผล: ถ้ามีเพียง VPN ที่เข้าถึงผู้รับฟัง SSH การเปิดเผยก็เล็กน้อยและปัญหาก็ได้รับการจัดการ แต่การเปิดเผยไม่เท่ากับความสมบูรณ์ ครึ่งแรกเป็นจริงและครึ่งหลังไม่ได้ตามมา การเข้าถึงควบคุมว่าใครอาจลองเชื่อมต่อ ส่วนความสมบูรณ์ของซอฟต์แวร์ควบคุมว่าผู้รับฟังจะทำอะไรเมื่อได้รับหนึ่ง ประตูทำให้ผู้ชมแคบลงและไม่พูดอะไรเกี่ยวกับโค้ดที่อยู่ข้างหลัง

พอร์ตส่วนตัวเป็นประตูที่เล็กกว่า ไม่ใช่กุญแจอีกดอก และความแตกต่างนั้นกำหนดสิ่งที่คุณจะตรวจสอบต่อไป

สองการควบคุม สองคำถาม

ข้อจำกัดเครือข่ายลดการเปิดเผย มันปล่อยให้ผู้ใช้ที่ได้รับอนุญาต และไคลเอนต์ที่ได้รับอนุมัติซึ่งถูกบุกรุก สามารถเข้าถึงบริการที่ได้รับผลกระทบได้ การแก้ไขแพ็กเกจฟื้นฟูซอฟต์แวร์ และก็ไม่ได้จำกัดสิทธิ์เครือข่ายที่กว้างเกินไปเช่นกัน การควบคุมแต่ละอย่างทำงานของตัวเอง และแต่ละอย่างอาจถูกต้องในขณะที่อีกอย่างขาดหาย การทบทวนทั้งสองพร้อมกันเป็นวิธีที่ทีมทำให้ตัวเองเชื่อว่าอันหนึ่งครอบคลุมทั้งสอง และนั่นคือข้อผิดพลาดเฉพาะที่บทความนี้พูดถึง

ปลายทาง VPN ก็เป็นซอฟต์แวร์เช่นกัน และมีภาระหน้าที่เดียวกัน การเพิ่มเข้าไปในเส้นทางนำมาซึ่งภาระการบำรุงรักษาของตัวเอง และไม่ได้ขจัดความรับผิดชอบของห่วงโซ่อุปทานต่อสิ่งใดที่อยู่ข้างหลัง

การเปิดเผย XZ แสดงให้เห็นอะไรจริง ๆ

การเปิดเผย XZ/liblzma ในเดือนมีนาคม 2024 อธิบายประตูหลังที่อาจนำไปสู่การบุกรุกเซิร์ฟเวอร์ SSH ภายใต้เงื่อนไขที่ได้รับผลกระทบ มันเป็นปัญหาความสมบูรณ์ของซอฟต์แวร์พอ ๆ กับปัญหาการเปิดเผย และไม่ใช่หลักฐานว่าทุกการติดตั้ง Linux มีบิลด์ที่เปราะบาง ขอบเขตมาจากเวอร์ชันที่ได้รับผลกระทบและการกระจายที่จัดส่งเวอร์ชันเหล่านั้น ไม่ใช่จากชื่อตระกูลระบบปฏิบัติการ

ความแตกต่างนั้นคือความแตกต่างระหว่างการตอบสนองต่อเหตุการณ์กับข่าวลือ และคุ้มค่าที่จะพิถีพิถันเกี่ยวกับเรื่องนี้

การปิดพอร์ตไม่ใช่การกู้คืน

หากการบุกรุกอาจเกิดขึ้นแล้ว การเปลี่ยนการเข้าถึงไม่ใช่การกู้คืน ประตูหลังที่ถูกเรียกใช้ได้รับโอกาสแล้ว กฎไฟร์วอลล์ไม่ได้เดินทางย้อนเวลา ทำตามกระบวนการเหตุการณ์ที่ได้รับอนุมัติสำหรับโฮสต์และข้อมูลรับรองใด ๆ ที่ถูกเปิดเผย และเก็บหลักฐานที่จำเป็นเพื่อยืนยันว่าเกิดอะไรขึ้นจริง การสร้างใหม่จากสื่อที่รู้ว่าดีมักเป็นส่วนหนึ่งของการสนทนานั้น

ใช้คำแนะนำที่ตรวจสอบแล้วในปัจจุบันของดิสทริบิวชันและกระบวนการแก้ไขด้วย และอ่านรายการเวอร์ชันที่ได้รับผลกระทบแทนพาดหัวข่าว การคัดลอกคำสั่งดาวน์เกรดในอดีตไปยังสภาพแวดล้อมที่ไม่เกี่ยวข้องคือวิธีที่การแก้ไขกลายเป็นการเปิดเผยใหม่

ตรวจสอบทั้งสองอย่าง แยกกัน

ถามสองคำถามด้วยเงื่อนไขของมันเอง ใครสามารถเข้าถึงผู้รับฟัง และผู้ชมนี้คือผู้ชมที่บริการนี้มีไว้สำหรับหรือไม่ มีการติดตั้งซอฟต์แวร์เวอร์ชันใด ใครลงนามในอาร์ติแฟกต์ และองค์กรรู้จักรีลีสที่ไม่ดีก่อนอ่านในข่าวได้อย่างไร คำตอบเป็นของเอกสารต่าง ๆ ที่มีเจ้าของต่างกัน และไม่มีเจ้าของใดตอบแทนอีกฝ่ายได้

สำหรับฟลีตที่จัดการ สินค้าคงคลังซอฟต์แวร์คือการควบคุมที่ทำให้คำถามที่สองตอบได้เลย หากไม่มี ทุกการเปิดเผยจะกลายเป็นโครงการโบราณคดีที่มีกำหนดเวลา

ประตูทำให้ผู้ชมแคบลง ความสมบูรณ์กำหนดว่าผู้ชมมีความสำคัญหรือไม่