Özel bir port arkasındaki yazılımı belgelemez

Bu makul bir içgüdü: yalnızca VPN SSH dinleyicisine ulaşıyorsa maruziyet küçüktür ve sorun çözülmüştür. Ancak maruziyet bütünlük ile aynı şey değildir. İlk yarı doğrudur ve ikinci yarı bundan çıkmaz. Erişilebilirlik kimin bağlantı deneyebileceğini denetler; yazılım bütünlüğü dinleyicinin bir bağlantı aldığında ne yapacağını denetler. Bir kapı izleyici kitlesini daraltır ve arkasındaki kod hakkında hiçbir şey söylemez.

Özel bir port daha küçük bir kapıdır, farklı bir kilit değildir ve bu ayrım sırada neyi kontrol edeceğinizi belirler.

İki kontrol, iki soru

Bir ağ kısıtlaması maruziyeti azaltır. Kabul edilen kullanıcıları ve ele geçirilmiş onaylı bir istemciyi etkilenen hizmete ulaşabilir durumda bırakır. Paketi düzeltmek yazılımı geri yükler ve aynı zamanda aşırı geniş bir ağ iznini daraltmaz. Her kontrol kendi işini yapar ve biri eksikken diğeri doğru olabilir. İkisini birlikte incelemek, bir ekibin birinin ikisini de kapsadığına kendini ikna etme biçimidir ve bu yazının konusu olan tam hata budur.

VPN uç noktası da yazılımdır ve aynı yükümlülüğü taşır. Yola eklenmesi kendi bakım yükümlülüğünü getirir ve arkasındaki hiçbir şey için tedarik zinciri sorumluluğunu ortadan kaldırmaz.

XZ açıklaması gerçekte neyi gösterdi

Mart 2024'teki XZ/liblzma açıklaması, etkilenen koşullarda SSH sunucusunun ele geçirilmesine yol açabilecek bir arka kapıyı tanımladı. Bu, maruziyet sorunu olduğu kadar yazılım bütünlüğü sorunuydu ve her Linux kurulumunun savunmasız derlemeyi taşıdığının kanıtı değildi. Kapsam, etkilenen sürümlerden ve bunları gönderen dağıtımlardan gelir, işletim sistemi ailesinin adından değil.

Bu ayrım, bir olay müdahalesi ile bir söylenti arasındaki farktır ve bu konuda titiz olmakta değer var.

Portu kapatmak kurtarma değildir

Ele geçirme zaten gerçekleşmiş olabilecekse, erişilebilirliği değiştirmek kurtarma değildir. Çalıştırılmış bir arka kapı fırsatını çoktan kullanmıştır; bir güvenlik duvarı kuralı zamanda geriye yolculuk etmez. Ana bilgisayar ve açığa çıkmış herhangi bir kimlik bilgisi için onaylı olay sürecini izleyin ve gerçekte neyin çalıştırıldığını saptamak için gereken kanıtları saklayın. Bilinen iyi ortamlardan yeniden oluşturma genellikle o konuşmanın bir parçasıdır.

Dağıtımın güncel doğrulanmış bildirimini ve giderme sürecini de kullanın ve başlık yerine etkilenen sürümler listesini okuyun. Tarihsel bir sürüm düşürme komutunu ilgisiz bir ortama kopyalamak, bir düzeltmenin yeni bir maruziyete dönüşme biçimidir.

İkisini ayrı ayrı inceleyin

İki soruyu kendi koşullarıyla sorun. Dinleyiciye kim ulaşabilir ve bu kitle hizmetin amaçlandığı kitle midir? Yazılımın hangi sürümü kurulu, eseri kim imzaladı ve kuruluş kötü bir sürümü haberlerde okumadan önce nasıl öğrenir? Yanıtlar farklı sahipleri olan farklı belgelere aittir ve hiçbir sahip diğerinin yerine yanıt veremez.

Yönetilen bir filo için yazılım envanteri, ikinci soruyu baştan yanıtlanabilir kılan kontroldür. Onsuz her açıklama, son teslim tarihi olan bir arkeoloji projesine dönüşür.

Bir kapı izleyici kitlesini daraltır. Bütünlük, kitlenin önemli olup olmadığına karar verir.