Xususiy port uning orqasidagi dasturiy ta'minotni tasdiqlamaydi

Bu o'rinli instinkt: faqat VPN SSH tinglovchisiga yetib borsa, ta'sir kichik va muammo hal qilingan. Biroq ta'sir yaxlitlikka teng emas. Birinchi yarmi to'g'ri, ikkinchisi esa undan kelib chiqmaydi. Yetib borish kim ulanishga urinishi mumkinligini boshqaradi; dasturiy ta'minot yaxlitligi tinglovchi ulanishni olganida nima qilishini boshqaradi. Darvoza auditoriyani toraytiradi va uning orqasidagi kod haqida hech narsa aytmaydi.

Xususiy port kichikroq eshik, boshqa qulf emas, va bu farq keyin nimani tekshirishingizni belgilaydi.

Ikki boshqaruv, ikki savol

Tarmoq cheklovi ta'sirni kamaytiradi. U ruxsat etilgan foydalanuvchilarni va har qanday buzilgan tasdiqlangan mijozni zararlangan xizmatga yetib borish qobiliyatida qoldiradi. Paketni tuzatish dasturiy ta'minotni tiklaydi, va u haddan tashqari keng tarmoq ruxsatini ham toraytirmaydi. Har bir boshqaruv o'z ishini qiladi, va biri yo'q bo'lganda ham har biri to'g'ri bo'lishi mumkin. Ularni birga ko'rib chiqish — jamoa biri ikkalasini qamrab oladi deb o'zini ishontirish usuli, va bu aynan shu maqola haqida bo'lgan xato.

VPN oxirgi nuqtasi ham dasturiy ta'minot, va u ham xuddi shu majburiyatni olib yuradi. Uni yo'lga qo'shish o'zining texnik xizmat majburiyatini keltiradi va uning orqasidagi hech narsa uchun ta'minot zanjiri javobgarligini olib tashlamaydi.

XZ oshkorligi aslida nimani ko'rsatdi

2024-yil mart oyidagi XZ/liblzma oshkorligi zararlangan sharoitlarda SSH serverining buzilishiga olib kelishi mumkin bo'lgan orqa eshikni tasvirladi. Bu ta'sir muammosi kabi dasturiy ta'minot yaxlitligi muammosi edi va har bir Linux o'rnatilishida zaif qurilma borligiga dalil emas edi. Qamrov zararlangan versiyalar va ularni yetkazgan distributivlardan keladi, operatsion tizim oilasining nomidan emas.

Bu farq voqeaga javob va mish-mish o'rtasidagi farq, va bu borada sinchkov bo'lishga arziydi.

Portni yopish tiklash emas

Agar buzilish allaqachon sodir bo'lgan bo'lishi mumkin bo'lsa, yetib borishni o'zgartirish tiklash emas. Bajarilgan orqa eshik allaqachon o'z imkoniyatini olgan; tarmoq devori qoidasi vaqt bo'ylab orqaga sayohat qilmaydi. Xost va har qanday ochilgan hisob ma'lumotlari uchun tasdiqlangan voqea jarayoniga rioya qiling, va aslida nima bajarilganini aniqlash uchun zarur dalillarni saqlang. Ma'lum yaxshi tashuvchilardan qayta qurish odatda o'sha suhbatning bir qismidir.

Distributivning joriy tasdiqlangan tavsiyasi va tuzatish jarayonidan ham foydalaning, va sarlavha o'rniga zararlangan versiyalar ro'yxatini o'qing. Tarixiy pasaytirish buyrug'ini aloqasiz muhitga ko'chirish — tuzatishning yangi ta'sirga aylanish yo'li.

Ikkalasini alohida ko'rib chiqing

Ikkala savolni o'z shartlari bilan bering. Tinglovchiga kim yetib borishi mumkin, va bu auditoriya xizmat uchun mo'ljallangan auditoriyami? Dasturiy ta'minotning qaysi versiyasi o'rnatilgan, artefaktga kim imzo chekkan, va tashkilot yomon nashr haqida yangiliklarda o'qishdan oldin qanday biladi? Javoblar turli egalarga ega turli hujjatlarga tegishli, va hech bir ega boshqasining nomidan javob bera olmaydi.

Boshqariladigan flot uchun dasturiy ta'minot inventari ikkinchi savolni umuman javob berish mumkin bo'lgan boshqaruvdir. Usiz har bir oshkorlik muddati bor arxeologiya loyihasiga aylanadi.

Darvoza auditoriyani toraytiradi. Yaxlitlik auditoriyaning ahamiyati bor-yo'qligini hal qiladi.