Một cổng riêng không chứng thực phần mềm phía sau nó

Đó là một bản năng hợp lý: nếu chỉ VPN đến được trình lắng nghe SSH, mức phơi lộ nhỏ và vấn đề đã được xử lý. Tuy nhiên, phơi lộ không đồng nghĩa với toàn vẹn. Nửa đầu đúng và nửa sau không suy ra từ đó. Khả năng tiếp cận kiểm soát ai được thử kết nối; tính toàn vẹn phần mềm kiểm soát trình lắng nghe sẽ làm gì khi nhận được một kết nối. Một cổng thu hẹp công chúng và không nói gì về mã phía sau nó.

Một cổng riêng là cánh cửa nhỏ hơn, không phải ổ khóa khác, và sự phân biệt đó quyết định điều bạn kiểm tra tiếp theo.

Hai biện pháp kiểm soát, hai câu hỏi

Một hạn chế mạng giảm phơi lộ. Nó vẫn để người dùng được phép, và bất kỳ máy khách đã được phê duyệt bị xâm phạm nào, có thể đến dịch vụ bị ảnh hưởng. Sửa gói khôi phục phần mềm, và nó cũng không thu hẹp một quyền mạng quá rộng. Mỗi biện pháp kiểm soát làm công việc của mình, và mỗi biện pháp có thể đúng trong khi biện pháp kia thiếu. Xem xét chúng cùng nhau là cách một nhóm tự thuyết phục rằng một biện pháp bao trùm cả hai, và đó chính là sai lầm mà bài viết này nói đến.

Điểm cuối VPN cũng là phần mềm, và nó mang cùng nghĩa vụ. Thêm nó vào đường đi đưa ra nghĩa vụ bảo trì riêng, và nó không loại bỏ trách nhiệm chuỗi cung ứng đối với bất cứ thứ gì phía sau.

Công bố XZ thực sự đã chứng minh điều gì

Công bố XZ/liblzma vào tháng Ba năm 2024 mô tả một cửa sau có thể dẫn đến xâm phạm máy chủ SSH trong những điều kiện bị ảnh hưởng. Đó là vấn đề toàn vẹn phần mềm nhiều như vấn đề phơi lộ, và nó không phải bằng chứng rằng mọi bản cài Linux đều mang bản dựng dễ bị tổn thương. Phạm vi đến từ các phiên bản bị ảnh hưởng và các bản phân phối đã phát hành chúng, không phải từ tên họ hệ điều hành.

Sự phân biệt đó là khác biệt giữa phản ứng sự cố và tin đồn, và đáng để tỉ mỉ về điều đó.

Đóng cổng không phải là phục hồi

Nếu xâm phạm có thể đã xảy ra, thay đổi khả năng tiếp cận không phải là phục hồi. Một cửa sau đã chạy đã có cơ hội của nó; một quy tắc tường lửa không đi ngược thời gian. Làm theo quy trình sự cố đã được phê duyệt cho máy chủ và cho bất kỳ thông tin xác thực nào bị lộ, và giữ lại bằng chứng cần thiết để xác định điều gì thực sự đã chạy. Xây dựng lại từ phương tiện đã biết là tốt thường là một phần của cuộc trò chuyện đó.

Cũng sử dụng thông báo đã xác minh hiện tại của bản phân phối và quy trình khắc phục của nó, và đọc danh sách các phiên bản bị ảnh hưởng thay vì tiêu đề. Sao chép một lệnh hạ cấp lịch sử vào một môi trường không liên quan là cách một bản sửa trở thành một phơi lộ mới.

Xem xét cả hai, riêng biệt

Đặt hai câu hỏi theo thuật ngữ của chúng. Ai có thể đến trình lắng nghe, và công chúng đó có đúng là công chúng mà dịch vụ hướng tới? Phiên bản phần mềm nào được cài đặt, ai đã ký tạo tác, và tổ chức biết về một bản phát hành tồi trước khi đọc trên tin tức bằng cách nào? Câu trả lời thuộc về các tài liệu khác nhau với chủ sở hữu khác nhau, và không chủ sở hữu nào có thể trả lời thay chủ sở hữu kia.

Đối với một đội được quản lý, kiểm kê phần mềm là biện pháp kiểm soát khiến câu hỏi thứ hai có thể trả lời được. Không có nó, mỗi công bố trở thành một dự án khảo cổ với thời hạn.

Một cổng thu hẹp công chúng. Tính toàn vẹn quyết định liệu công chúng có quan trọng không.