Dusk đã triển khai 39 bản sửa lỗi thông qua AEGIS. Trong số các phát hiện dẫn đến việc khắc phục đó, có 7 phát hiện được đánh giá là mức độ nghiêm trọng. Nghe có vẻ như đó là một con số lớn các vấn đề bảo mật riêng lẻ. Nhưng 7 phát hiện nghiêm trọng này lại chỉ quy về 4 nguyên nhân gốc, khiến số liệu tiêu đề không rõ ràng như vẻ bề ngoài ban đầu.
Ba mươi chín bản sửa lỗi cho tôi biết quy mô công việc khắc phục của Dusk. Nhưng chúng không cho tôi biết có bao nhiêu chế độ lỗi (failure modes) độc lập mà các bản sửa lỗi đó thực sự đang nhắm tới. Điều tôi chưa biết là liệu quy trình khắc phục của Dusk có nhất quán loại bỏ các nguyên nhân dùng chung nằm sau nhiều phát hiện hay chỉ đơn thuần đóng các đường khai thác (exploit paths) riêng lẻ đã tình cờ lộ ra.
Quy trình AEGIS nội bộ của Dusk cung cấp một cơ chế hữu ích để theo dõi. Việc khắc phục mức độ nghiêm trọng không chỉ được đo bằng việc đóng đường khai thác, mà còn bằng việc đóng nguyên nhân gốc và mức độ bao phủ hồi quy (regression coverage). Điều đó khiến các lần tái diễn trong tương lai có ý nghĩa hơn đối với tôi so với chỉ là con số bản sửa lỗi thô. Việc phát hành một bản vá chứng minh rằng một vấn đề đã biết được xử lý. Bằng chứng mạnh hơn là việc cùng một lớp lỗi cốt lõi không còn tái xuất hiện trong các lần rà soát sau hoặc ở các phần liên quan khác của ngăn xếp.
Khi Dusk xây dựng hạ tầng cho các luồng phát hành bản địa (native issuance workflows), nơi vòng đời của nhiều quy trình bảo mật được quản lý có thể phụ thuộc trực tiếp vào mạng nền tảng, thì việc khắc phục theo nguyên nhân gốc trở thành một tín hiệu bảo mật có ý nghĩa hơn nhiều so với con số bản sửa lỗi được triển khai.
Tôi muốn biết thêm từ bằng chứng cho thấy một vài nguyên nhân gốc được chia sẻ đã được loại bỏ hoàn toàn hơn là từ một con số bản sửa lỗi lớn hơn, trong khi không biết rằng đằng sau đó là bao nhiêu chế độ lỗi độc lập.
Câu hỏi là liệu quy trình bảo mật của Dusk đang thu hẹp các lớp lỗi nền tảng hay chỉ đơn giản là giảm số lượng các phát hiện đang mở. Tôi đang theo dõi xem liệu những nguyên nhân gốc tương tự có tiếp tục xuất hiện trong các cuộc kiểm toán sau hay không, mức độ bao phủ hồi quy phát triển ra sao và liệu những giả định cấp thấp tương tự có tái xuất hiện ở nơi khác trong ngăn xếp hay không.
#dusk $DUSK @Dusk ✨
Ba mươi chín bản sửa lỗi cho tôi biết quy mô công việc khắc phục của Dusk. Nhưng chúng không cho tôi biết có bao nhiêu chế độ lỗi (failure modes) độc lập mà các bản sửa lỗi đó thực sự đang nhắm tới. Điều tôi chưa biết là liệu quy trình khắc phục của Dusk có nhất quán loại bỏ các nguyên nhân dùng chung nằm sau nhiều phát hiện hay chỉ đơn thuần đóng các đường khai thác (exploit paths) riêng lẻ đã tình cờ lộ ra.
Quy trình AEGIS nội bộ của Dusk cung cấp một cơ chế hữu ích để theo dõi. Việc khắc phục mức độ nghiêm trọng không chỉ được đo bằng việc đóng đường khai thác, mà còn bằng việc đóng nguyên nhân gốc và mức độ bao phủ hồi quy (regression coverage). Điều đó khiến các lần tái diễn trong tương lai có ý nghĩa hơn đối với tôi so với chỉ là con số bản sửa lỗi thô. Việc phát hành một bản vá chứng minh rằng một vấn đề đã biết được xử lý. Bằng chứng mạnh hơn là việc cùng một lớp lỗi cốt lõi không còn tái xuất hiện trong các lần rà soát sau hoặc ở các phần liên quan khác của ngăn xếp.
Khi Dusk xây dựng hạ tầng cho các luồng phát hành bản địa (native issuance workflows), nơi vòng đời của nhiều quy trình bảo mật được quản lý có thể phụ thuộc trực tiếp vào mạng nền tảng, thì việc khắc phục theo nguyên nhân gốc trở thành một tín hiệu bảo mật có ý nghĩa hơn nhiều so với con số bản sửa lỗi được triển khai.
Tôi muốn biết thêm từ bằng chứng cho thấy một vài nguyên nhân gốc được chia sẻ đã được loại bỏ hoàn toàn hơn là từ một con số bản sửa lỗi lớn hơn, trong khi không biết rằng đằng sau đó là bao nhiêu chế độ lỗi độc lập.
Câu hỏi là liệu quy trình bảo mật của Dusk đang thu hẹp các lớp lỗi nền tảng hay chỉ đơn giản là giảm số lượng các phát hiện đang mở. Tôi đang theo dõi xem liệu những nguyên nhân gốc tương tự có tiếp tục xuất hiện trong các cuộc kiểm toán sau hay không, mức độ bao phủ hồi quy phát triển ra sao và liệu những giả định cấp thấp tương tự có tái xuất hiện ở nơi khác trong ngăn xếp hay không.
#dusk $DUSK @Dusk ✨