آلة اكتشاف الثغرات تركض. مسؤول الصيانة ما زال يملك يدين فقط.

الخلاصة

• قال رئيس مجلس مؤسسة Erlang Ecosystem Foundation في اجتماع RIPE 93 إن هيئتها لترقيم الثغرات تعاملت مع نحو عشر حالات CVE العام الماضي وتتوقع أكثر من خمسمئة هذا العام.
• العثور على حالة مرشحة بداية سلسلة بشرية تشمل إثباتها، وإبلاغ المشرف على الحزمة، وإصدار التصحيح، وتقرير موعد النشر.

وصلت آلة البحث إلى خط النهاية قبل أن يبدأ عامل الصيانة نوبته. في جلسة الأمن باجتماع RIPE 93، وصف Alistair Woodman، رئيس مجلس مؤسسة Erlang Ecosystem Foundation، تحولاً قاسياً في حجم عمل هيئتها المعتمدة لإسناد أرقام CVE. كانت الحالات نحو عشر في العام الماضي، ويتوقع أن تتجاوز خمسمئة هذا العام؛ أي ما يقارب خمسين ضعفاً. الرقم الأخير توقع لنهاية السنة، أما الضغط على فريق الفرز فقد بدأ بالفعل. يرى Woodman أن الثغرات كانت موجودة وأن أدوات العثور عليها صارت أقدر.

تحدد صفحة برنامج CVE الرسمية نطاق عمل المؤسسة: الحزم النشطة على Hex.pm ومشروعات محددة من Erlang وElixir وGleam، ما دامت خارج نطاق هيئة ترقيم أخرى. وقدّر Woodman حجم المنظومة بأكثر من عشرين ألف حزمة. يستطيع الفاحص الآلي أن يمر على هذا العدد، لكن التقرير الواحد يحتاج من يبرهن الخلل ويحدد الأثر ويصل إلى المشرف الذي يملك مفاتيح الإصدار.

في النص الأصلي للجلسة، تحدث Woodman عن باحث يستعين بالذكاء الاصطناعي وعن منسق يراقب عمق الطابور حتى لا تغرق الهيئة في النتائج. وتجرب المؤسسة جمع البلاغات الخاصة بالمشروع الواحد وإعطاء المشرفين فرصة لتخصيص وقت للإصلاح بدلاً من مقاطعتهم في كل مرة. وضعت شرائح العرض الأصلية إنهاك المشرفين في شريحة مستقلة. العنوان قصير، والفاتورة طويلة.

يفصل إجراء التنسيق المنشور الطريق من البلاغ إلى السجل: فرز الحالة، إعداد مثال صغير يعيد إنتاجها، التواصل السري مع المشرف، مراجعة الهيئة ثم النشر. بعد أربعة عشر يوماً بلا رد، يمكن للمؤسسة نشر السجل من دونه. وللثغرة المعروفة علناً أو المستغلة فعلياً مهلة نشر مدتها أربع وعشرون ساعة. هذه المواعيد تحدد من يتخذ القرار عندما يتسارع ورود البلاغات.

قال Woodman إن المؤسسة تسعى إلى الرعاة لتمويل العمل. أصبح العثور على الخلل رخيصاً؛ أما الوقت الذي يحوله إلى حزمة مصححة فما زال يحتاج إلى مال وشخص مسؤول.