CVE의 첫 목록 321개: 이름은 있었고 수리는 별개였다

요약

MITRE의 2002년 경과 보고서에 따르면 CVE는 1999년 9월 항목 321개로 공개됐다. MITRE는 이를 기존 도구와 데이터베이스를 잇는 논리적 다리로 설명했다.
설계자들의 1999년 논문은 서로 다른 N개 데이터베이스를 쌍마다 연결하면 매핑 부담이 대략 N²로 늘지만, 공통 목록을 거치면 각 데이터베이스가 한 번씩 연결하는 N 규모가 된다고 분석했다. 목록은 심각도 판정이나 현장 설정 점검을 맡지 않았다.

같은 구멍을 가리키는 이름이 제각각이었다

보안 도구의 결과를 공급업체 권고문과 대조하려면 먼저 두 문서가 같은 결함을 말하는지 알아야 한다. 1990년대 말에는 제품마다 자체 취약점 데이터베이스와 명명법을 썼다. MITRE 설계자들이 1999년에 적은 문제는 탐지 기술의 부족만이 아니었다. 도구 사이의 결과를 비교하고, 서로 다른 보고를 연결하고, 해당 소프트웨어의 정보를 찾는 일에 매번 번역이 필요했다. 경보가 더 많아져도 이름이 어긋나면 담당자의 업무는 더 빨라지지 않았다.

논문이 제시한 계산은 간단했다. N개의 목록이 서로 쌍을 이루어 번호를 맞추면 연결 수는 대략 N²로 커진다. 공통 이름 목록을 하나 두면 각 목록은 그 이름에 한 번 매핑하면 된다. 여기서 절약되는 것은 결함을 분석하는 능력이 아니라 기록을 서로 대조하는 비용이다. 두 스캐너가 다른 결과를 냈을 때, 적어도 같은 문제를 검사했는지 물을 수 있게 된다.

그래서 설계자들은 더 거창한 계획을 접었다. 모든 취약점을 한 가지 분류 체계로 묶고 위험을 중앙에서 판정하는 대신, CVE를 색인 또는 대조표로 만들었다. 항목마다 고유한 이름, 문제를 구별할 짧은 설명, 관련 참조를 두었다. 제품별 진단 방식과 위험 해석은 각 데이터베이스와 도구에 남겼다. 여러 기관이 받아들일 공통층은 얇아야 했다. 한 공급업체의 분류법까지 강요하면 연결하려던 시스템들이 오히려 그 층을 거부할 수 있었다.

번호는 판결문이 아니었다

1999년 논문에서 CVE 이름은 접두어와 연도, 일련번호로 이뤄진다. 번호가 결함의 발견 순서를 알려주지는 않는다. 심각도도 담지 않는다. 번호를 보고 특정 서버가 실제로 노출됐는지, 설치된 버전이 영향을 받는지, 어떤 패치가 적용됐는지를 읽을 수 없다. 공통 이름은 문서들이 같은 대상을 가리킨다는 출발점이다. 현장의 구성과 보안 정책, 도구의 탐지 성능은 그 이름 밖에 있다.

그렇게 얇은 항목조차 자동으로 확정되지는 않았다. 당시 설계 논문은 후보와 편집위원회의 절차를 설명한다. 제안된 문제에는 임시 CAN 번호를 붙일 수 있었고, 위원회가 받아들인 항목은 CVE가 됐다. 제안이 중복이면 기각하거나 합치고, 하나로 묶인 문제가 사실상 둘이면 나누고, 설명이 부족하면 추가 근거를 요구했다. 이는 공통 목록에서 무엇을 하나의 문제로 셀지 결정하는 절차였다. 사용자의 운영 서버에서 패치가 성공했는지 확인하는 절차는 아니었다.

MITRE의 2002년 보고서는 1999년 9월의 공개 출발점을 항목 321개로 기록한다. 보고서는 CVE를 기존 데이터베이스나 보안 제품의 대체품이 아니라 그 사이의 논리적 연결로 묘사했다. 스캐너는 결함을 탐지하고, 공급업체는 권고문과 수정판을 내고, 운영자는 설치된 소프트웨어를 확인해 업데이트를 적용한다. CVE 번호는 그 세 기록이 같은 결함에 관한 것인지 맞춰 준다. 번호 자체가 수정판을 만들거나 배포하지는 않는다.

작은 장부가 큰 작업을 연결했다

첫 항목 321개는 세상의 취약점을 모두 센 숫자가 아니다. 발행된 초기 목록의 크기다. 그렇지만 이 목록은 서로 다른 기관이 한 대상을 놓고 작업할 수 있게 했다. 편집위원회가 후보의 경계를 정하고, 도구 제작사가 자체 탐지 기록을 이름에 연결하고, 공급업체가 수정 정보를 같은 이름으로 표기하면, 운영자는 어느 경고와 어느 업데이트가 맞물리는지 따라갈 수 있다.

그 연결에는 여전히 빈칸이 있었다. 후보를 나누거나 합치는 판단은 자료에 달렸고, 공급업체의 제품 정보가 부정확하면 매핑도 흔들린다. 무엇보다 실제 장비에서 영향을 받는 버전과 구성인지, 수정 뒤 서비스가 정상인지 확인하는 일은 목록의 바깥에 남는다. CVE가 만든 것은 고장 난 기계를 고치는 자동 장치가 아니라, 서로 다른 설계도를 든 사람들이 같은 균열을 손가락으로 짚게 해 주는 이름이었다. 드라이버는 다른 작업대에 있었다.