Açık kaynaklı bir VPN neden satın almada reddediliyor
Açık kaynağa itiraz eden bir değerlendirici genellikle bir gereksinimi korur, bir lisans zevkini değil. Hangisi olduğunu sorun, sonra ona yanıt veren belgeyi hazırlayın.
Açık kaynağa atıf yapan retler nadiren lisanslamayla ilgilidir. Değerlendirici genellikle bir gereksinimi korur: birinin dağıtılan sürümü sürdürmesi, kurulu derlemenin tanımlanabilmesi, bir değerlendirmenin bağlananı kapsaması ya da bağlantının geri çekilebilmesi. Ardından gelen tartışma genellikle kimsenin sormadığı bir soruyu yanıtlar.
Bir lisansı savunmadan önce hangi gereksinimin geçerli olduğunu sorun. Yanıt, hangi belgeye ihtiyacınız olduğunu belirler.
Etiket gereksinim değildir
Okunabilir kaynak kodu, yayımlanan uygulamanın incelenebileceği anlamına gelir. Birinin onu incelediği, ağ geçidindeki derlemenin yayımlananla eşleştiği ya da bir bakımcının dağıtımınıza düzeltme borçlu olduğu anlamına gelmez. Bunların her biri ayrı bir sahibi olan ayrı bir iddiadır ve bunlardan birine ihtiyaç duyan bir değerlendirici diğerleriyle tatmin olmayacaktır. İddiayı yüksek sesle adlandırmak genellikle konuşmayı değiştirmeye yeter.
Ters hata da aynı ölçüde yaygındır. Ticari bir lisans, desteğin güvendiğiniz özelliği kapsadığını, bir değerlendirmenin dağıttığınız bileşeni incelediğini ya da satıcının düzeltmeyi bakım pencereniz içinde göndereceğini kanıtlamaz. Lisanslama dağıtım koşullarını tanımlar, satın alma kararları ise güvene ilişkindir. Her iki durumda da lisans, yanıtın en az bilgilendirici kısmıdır.
İstemciyi ve hizmeti ayrı tutun. Bir masaüstü istemcisinin denetimi, iş ortağının ağ geçidi yapılandırması, kimlik sağlayıcısı ya da operatörlerinin hesap kaldırmayı nasıl ele aldığı hakkında hiçbir şey söylemez. Hangi kanıtı toplarsanız toplayın, iş ortağından güvenmesi istenen sınırla eşleşmelidir.
Kaygıyı belgeye dönüştürün
Onaylayandan gereksinimi tek cümleyle ifade etmesini isteyin, ardından onu karşılayacak belgeyi adlandırın. Bu görüşmeleri ideoloji tartışmasına çeviren tam olarak belirsiz güvencedir.
| What the reviewer is protecting | Artifact that answers it | Who can sign it |
|---|---|---|
| The deployed release keeps getting fixes | Named maintainer, supported version list and the cadence for security releases | The operating team, with the maintainer's published policy attached |
| The build is the one that was reviewed | Package source, version string and the checksum or signature you verify at install | The team that builds or vendors the package |
| An assessment covers the right scope | Component and version assessed, findings raised, corrections made, retest date | Whoever performed the assessment |
| The access can be withdrawn | Identities granted, resources reachable, and the tested removal procedure | The service owner on the partner side |
NIST Secure Software Development Framework burada tek bir dar nedenle yararlıdır: satın alma görüşmelerini ortak bir uygulama ve tedarikçi iletişimi sözlüğü etrafında çerçeveler. Bu, bir etiket hakkında tartışmak yerine tanımlanmış kanıt istemeyi destekler ve belirli bir VPN'in geçtiği bir sertifika değildir.
Orta sütunun ne yaptığına dikkat edin. Her satır var olan ya da olmayan bir belge ister; bu da bir görüşü birinin üretebileceği ya da reddedebileceği bir teslimata dönüştürür.
İstemciyi hizmetten ayırın
Bir istemci uygulaması için destek sözleşmesi, trafiğinizin ulaştığı sunucuya ilişkin bir taahhüt değildir. Kanıt sunmadan önce yolun hangi bölümlerini iş ortağının, hangilerini onun adına sizin işlettiğinizi işaretleyin. İkisini karıştırmak, kapsamlı görünen ve hiçbir şeye yanıt vermeyen bir belge paketi üretir.
Dağıtım sizinse, iş ortağının yalnızca bir kimliğe ve bir erişim kuralına güvenmesi gerekebilir; bu, tüm yazılım tedarik zincirinize güvenmekten çok daha küçük bir taleptir. Dağıtım onunsa, tercih ettiğiniz istemci konu dışı kalabilir ve ağ geçidi yapılandırması konu olur. Hangi durumda olduğunuzu ikinci toplantıdan önce belirlemek bir inceleme döngüsünü kazandırır.
Ardından incelemelerin gerçekten başarısız olduğu operasyonel soruları kontrol edin: hesabı kim kaldırıyor, ne kadar hızlı ve sonrasında hangi kanıt var. Kaldırma prosedürü olmayan güzelce belgelenmiş bir değerlendirme hâlâ açık bir bulgudur.
Kararla bitirin, tartışmayla değil
Alışverişi yazılı bir sonuçla bitirin: kabul edilen sürüm, ona bağlı kontroller, adlandırılmış operatörler, hâlâ eksik kanıtlar ve bunların sunulması gereken tarih. Çözülmemiş her şey, genel bir onay beyanına yutulmak yerine koşul olarak kaydedilmelidir.
Politika belirli bir onaylı ürünü adlandırıyorsa, kimsenin yetkilendirmediği paralel bir düzenleme kurmak yerine istisna yolunu kullanın. İkna edici bir teknik gerekçe izin vermez ve resmi olmayan bir dağıtım keşfedilmeyi bekleyen bir bulgudur.
Bir gereksinim gerçekten karşılanamıyorsa onaylı alternatife geçin ve nedenini söyleyin. Bu alıştırmanın amacı kuruluşun neye güvenebileceğini belirlemektir ve net bir hayır, sonradan kimsenin savunamayacağı bir onaydan daha iyi bir sonuçtur.