نجی پورٹ اپنے پیچھے کے سافٹ ویئر کی تصدیق نہیں کرتا

یہ ایک معقول فطری امر ہے: اگر صرف VPN ہی SSH سننے والے تک پہنچتا ہے تو خطرہ کم ہے اور مسئلہ حل ہو گیا۔ تاہم خطرہ سالمیت کے برابر نہیں ہے۔ پہلا نصف درست ہے اور دوسرا اس سے نہیں نکلتا۔ رسائی کنٹرول کرتی ہے کہ کون رابطہ کرنے کی کوشش کر سکتا ہے؛ سافٹ ویئر کی سالمیت کنٹرول کرتی ہے کہ سننے والا رابطہ ملنے پر کیا کرے گا۔ ایک دروازہ سامعین کو محدود کرتا ہے اور اس کے پیچھے کے کوڈ کے بارے میں کچھ نہیں کہتا۔

نجی پورٹ ایک چھوٹا دروازہ ہے، دوسرا تالا نہیں، اور یہی فرق طے کرتا ہے کہ آپ آگے کیا جانچیں گے۔

دو کنٹرول، دو سوال

نیٹ ورک کی پابندی خطرہ کم کرتی ہے۔ یہ اجازت یافتہ صارفین اور کسی بھی متاثرہ منظور شدہ کلائنٹ کو متاثرہ سروس تک پہنچنے کی صلاحیت میں رہنے دیتی ہے۔ پیکیج درست کرنا سافٹ ویئر بحال کرتا ہے، اور یہ حد سے زیادہ وسیع نیٹ ورک اجازت کو بھی محدود نہیں کرتا۔ ہر کنٹرول اپنا کام کرتا ہے، اور دوسرا نہ ہونے پر بھی ہر ایک درست ہو سکتا ہے۔ انہیں اکٹھا دیکھنا وہ طریقہ ہے جس سے ٹیم خود کو قائل کرتی ہے کہ ایک دونوں کو ڈھانپتا ہے، اور یہی وہ مخصوص غلطی ہے جس پر یہ تحریر ہے۔

VPN کا آخری نقطہ بھی سافٹ ویئر ہے، اور وہی ذمہ داری اٹھاتا ہے۔ اسے راستے میں شامل کرنا اپنی دیکھ بھال کی ذمہ داری لاتا ہے، اور اس کے پیچھے کسی بھی چیز کے لیے سپلائی چین کی ذمہ داری نہیں ہٹاتا۔

XZ کے انکشاف نے دراصل کیا دکھایا

مارچ 2024 میں XZ/liblzma کے انکشاف نے ایک بیک ڈور بیان کیا جو متاثرہ حالات میں SSH سرور کے نقصان کا باعث بن سکتا تھا۔ یہ خطرے کے مسئلے کی طرح سافٹ ویئر سالمیت کا مسئلہ بھی تھا، اور یہ ثبوت نہیں تھا کہ ہر Linux انسٹالیشن میں کمزور بلڈ تھا۔ دائرہ متاثرہ ورژنوں اور انہیں بھیجنے والی تقسیموں سے آتا ہے، آپریٹنگ سسٹم خاندان کے نام سے نہیں۔

یہی فرق واقعے کے ردعمل اور افواہ کے درمیان فرق ہے، اور اس بارے میں باریک بین ہونا مناسب ہے۔

پورٹ بند کرنا بحالی نہیں ہے

اگر نقصان پہلے ہی ہو چکا ہو سکتا ہے تو رسائی بدلنا بحالی نہیں ہے۔ جو بیک ڈور چل چکا ہے اسے پہلے ہی موقع مل چکا ہے؛ فائر وال قاعدہ وقت میں پیچھے سفر نہیں کرتا۔ میزبان اور کسی بھی بے نقاب اسناد کے لیے منظور شدہ واقعہ عمل کی پیروی کریں، اور یہ ثابت کرنے کے لیے ضروری شواہد رکھیں کہ دراصل کیا چلا۔ معلوم اچھے میڈیا سے دوبارہ تعمیر عام طور پر اس گفتگو کا حصہ ہوتی ہے۔

تقسیم کی موجودہ تصدیق شدہ ہدایت اور علاج کے عمل کو بھی استعمال کریں، اور سرخی کے بجائے متاثرہ ورژنوں کی فہرست پڑھیں۔ تاریخی ڈاؤن گریڈ کمانڈ کو غیر متعلق ماحول میں کاپی کرنا یہی ہے کہ درستی نئی بے نقابی کیسے بنتی ہے۔

دونوں کا الگ الگ جائزہ لیں

دونوں سوال اپنی شرائط میں پوچھیں۔ سننے والے تک کون پہنچ سکتا ہے، اور کیا یہی سامعین وہ ہیں جن کے لیے سروس ہے؟ سافٹ ویئر کا کون سا ورژن نصب ہے، کس نے آرٹیفیکٹ پر دستخط کیے، اور تنظیم کو بری ریلیز کا خبروں میں پڑھنے سے پہلے کیسے پتہ چلتا ہے؟ جواب مختلف مالکان کی مختلف دستاویزات میں ہیں، اور کوئی مالک دوسرے کی طرف سے جواب نہیں دے سکتا۔

منظم فلیٹ کے لیے سافٹ ویئر انوینٹری وہ کنٹرول ہے جو دوسرے سوال کو جواب دینے کے قابل بناتا ہے۔ اس کے بغیر ہر انکشاف آخری تاریخ والا آثارِ قدیمہ منصوبہ بن جاتا ہے۔

دروازہ سامعین کو محدود کرتا ہے۔ سالمیت طے کرتی ہے کہ سامعین اہم ہیں یا نہیں۔