Resumo

  • O relatório da MITRE de 2002 situa o lançamento público do CVE em setembro de 1999, com 321 entradas. A lista foi concebida como ponte lógica entre ferramentas e bancos já existentes.
  • O artigo dos autores de 1999 compara o custo de conectar N bancos de dois em dois, da ordem de N², com N ligações a um índice comum. Gravidade, configuração local e eficiência das ferramentas ficavam fora do identificador.

O mesmo defeito aparecia com três nomes

Uma ferramenta de avaliação podia denunciar um problema, outra descrevê-lo com palavras diferentes e o fornecedor publicar um aviso sem uma referência compartilhada. O analista precisava saber se eram três alertas para um único defeito antes de planejar qualquer ação. A MITRE descreveu em 1999 exatamente essa dificuldade de comparar produtos e relacionar descobertas a avisos de segurança.

O projeto não prometeu criar o scanner que substituiria todos os demais. Cada entrada teria um nome único e texto suficiente para separá-la das outras. Os produtos continuariam com suas bases, critérios e investigações, mas poderiam mapear cada registro para o nome comum. Sem o índice, a tradução entre todos os pares cresceria aproximadamente com o quadrado das fontes. Com o índice, cada fonte sustentaria uma correspondência com ele. Essa era uma economia de coordenação, não uma contagem de falhas no mundo.

O desenho também evitou uma grande taxonomia universal. O texto original chama o CVE de concordância ou índice. Uma base podia classificar risco de uma forma e outra base de outra; ambas ainda podiam apontar para o mesmo problema. A camada compartilhada seria estreita o bastante para não virar o produto de um único fornecedor imposto a todos.

O número não trazia a gravidade embutida

O formato com prefixo, ano e sequência parecia solene. Mas os autores advertiram que o número não indicava a ordem em que o defeito fora descoberto nem sua gravidade. Também não dizia se certa máquina estava vulnerável ou se um scanner a examinou bem. Configuração, política local e capacidade da ferramenta eram perguntas que cada usuário precisava responder com outros dados.

Chegar à lista pública exigia julgamento. O processo de 1999 distinguia candidatos CAN de entradas CVE aprovadas. Um comitê editorial podia rejeitar uma duplicata, corrigir a descrição, unir duas propostas ou dividir uma que juntasse coisas distintas. A disputa sobre a identidade do problema estava por trás de cada identificador aparentemente simples. Aprovar uma entrada, contudo, não era validar o patch de um servidor específico.

O balanço de 2002 registra o lançamento de setembro de 1999 com 321 entradas e um site público. A MITRE queria uma ponte entre ferramentas, avisos e páginas de atualização, não competir com todas elas. Um mesmo identificador podia aparecer no scanner e na página do fornecedor. Cabia ao operador confirmar a versão instalada, localizar a correção certa, aplicá-la e observar o serviço depois.

As 321 entradas eram o tamanho da lista inicial, não o total de defeitos existentes nem de máquinas reparadas. O CVE permitiu apontar para a mesma rachadura com três relatórios distintos. A bancada que soldaria a peça continuava do outro lado da sala.