الخلاصة

  • يسجل تقرير MITRE لعام 2002 إطلاق CVE للعامة في سبتمبر 1999 بقائمة أولى من 321 مدخلاً. كان المقصود جسراً منطقياً بين قواعد وأدوات أمنية موجودة.
  • يشرح بحث التصميم الأصلي لعام 1999 أن وصل N من قواعد الثغرات بعضها ببعض يتطلب تقريباً N² من المطابقات، أما ربط كل قاعدة بفهرس مشترك فيحتاج N وصلات. ولم يُدخل الشدة أو إعداد الجهاز أو جودة الأداة في الاسم.

كان لكل أداة قاموسها

قد تجد أداة فحص عيباً باسم، ويصدر البائع نشرة عنه باسم آخر، وتضع قاعدة ثالثة وصفاً مختلفاً. قبل أن يسأل المسؤول عن العلاج، عليه إثبات أن هذه السجلات تشير إلى المشكلة نفسها. وصف بحث MITRE عام 1999 صعوبة مقارنة أدوات الأمن وربط نتائجها بالنشرات بسبب غياب تسمية مشتركة. كثرة التنبيهات لم تحل مشكلة الهوية.

اختار المشروع حلاً محدوداً: اسم فريد ووصف قصير يكفي لتمييز العيب عن غيره. تحتفظ كل قاعدة بتحليلها وتصنيفها، لكنها تصل سجلها بالاسم المشترك. بدونه، يحتاج كل زوج من القواعد إلى ترجمة خاصة. ومعه، تكفي وصلة واحدة من كل قاعدة إلى الفهرس. المقارنة بين N² وN هي حساب لكلفة الربط بين مصادر البيانات، وليست إحصاءً للثغرات.

رفض المصممون أيضاً بناء تصنيف شامل لكل أنواع الضعف. سموا CVE فهرساً أو جدول مقابلة. يمكن لأداتين أن تختلفا في تقدير الخطر وتستعملا الاسم نفسه للواقعة نفسها. ضيق الطبقة المشتركة هو ما سمح لها أن تنتقل بين منتجات متنافسة من غير أن تفرض على الجميع قاعدة بيانات شركة واحدة.

الرقم لا يحمل درجة الخطر

يبدو الاسم المؤلف من بادئة وسنة ورقم حاسماً. لكن البحث الأصلي يقول إن الرقم لا يمثل ترتيب اكتشاف العيب ولا شدته. ولا يكشف ما إذا كان الجهاز المعين يشغّل النسخة المتأثرة أو ما إذا كان الفاحص قد اختبره جيداً. سياسة التشغيل والإعداد المحلي والتعرض الفعلي كلها مسائل تحتاج أدلة أخرى.

كانت بساطة الاسم تخفي أحكاماً صعبة. يمكن أن يحصل مقترح على رقم مؤقت يبدأ بـCAN، ثم تنظر فيه هيئة التحرير قبل قبوله في قائمة CVE. يصف مسار 1999 رفض التكرار، وتعديل الوصف، وضم قضيتين أو فصل قضية واسعة. تحديد ما إذا كان تقريران عن عيب واحد هو عمل تحريري وتقني. قبول الاسم لا يختبر رقعة برنامج على خادم المستخدم.

عاد تقرير MITRE لعام 2002 إلى لحظة النشر الأولى: 321 مدخلاً وموقع عام في سبتمبر 1999. كان الهدف أن تحمل النشرة والأداة وصفحة تحديث البائع المفتاح نفسه، لا أن تحل القائمة محلها. بعد جمع هذه السجلات، بقي على المشغّل معرفة النسخة المثبتة، واختيار الإصلاح المناسب، والتحقق من الخدمة بعد نشره.

يمثل العدد 321 حجم أول قائمة عامة، لا جميع العيوب الموجودة ولا عدد الأنظمة التي أُصلحت. سمح CVE لثلاثة تقارير بأن تشير إلى الشرخ نفسه. الأداة التي تصلح الشرخ بقيت في ورشة أخرى.