Кратко

  • Отчёт MITRE 2002 года относит публичный запуск CVE к сентябрю 1999 года и фиксирует 321 первую запись. Список задумывался как логический мост между существовавшими инструментами и базами.
  • Статья разработчиков 1999 года сравнивает около N² попарных сопоставлений для N баз уязвимостей с N связями через общий индекс. Серьёзность, местную конфигурацию и качество инструмента авторы не включали в значение имени.

У каждого сканера был свой словарь

Один продукт находил слабое место, второй называл его иначе, а разработчик уязвимой программы публиковал предупреждение ещё под третьим названием. Аналитику сначала нужно было доказать, что речь об одном дефекте. MITRE описала в 1999 году, как отсутствие общей номенклатуры мешало сравнивать средства защиты и связывать результаты проверок с бюллетенями. Увеличение числа находок без общего ключа лишь размножало таблицы соответствий.

Предложение было гораздо уже универсальной базы всех рисков. Одна запись получала уникальное имя и короткое описание, позволяющее отличить её от остальных. Каждый поставщик сохранял собственную базу и собственные выводы, но привязывал нужную запись к общему имени. Если соединять источники попарно, трудоёмкость растёт примерно как N²; если каждый подключить к одному индексу, потребуется около N сопоставлений. Формула описывала работу по интеграции, а не количество существующих дефектов.

Авторы сознательно отказались от общей классификации разновидностей уязвимостей. Первоначальный текст называл CVE конкордансом или указателем. Разные инструменты могли по-разному классифицировать и оценивать проблему, сохраняя общий идентификатор. Узкий слой позволял конкурирующим продуктам стыковаться, не принимая целиком чужую модель данных.

Цифра не была оценкой опасности

Префикс, год и порядковый номер создавали впечатление полного технического вердикта. Но в статье 1999 года прямо сказано: номер не указывает фактическую последовательность открытия и не обозначает тяжесть. Он не подтверждает, что на конкретной машине стоит затронутая версия или что сканер правильно проверил её. Локальная политика, конфигурация и эффективность защитного средства остаются самостоятельными вопросами.

Простая форма записи не означала простого отбора. Сначала кандидат мог получить временный номер CAN; затем редакционный совет решал, станет ли он записью CVE. Описанный MITRE процесс допускал отказ из-за дубликата, правку описания, объединение сообщений или разделение слишком широкого случая. Определить границу одного дефекта было частью работы. Проверка заплатки на работающем сервере в неё не входила.

Отчёт MITRE 2002 года вспоминал сентябрьскую публикацию 1999 года с 321 записью и общедоступным сайтом. CVE должен был служить логическим мостом, а не заменой каждого сканера и бюллетеня. Сканер мог выдать номер, поставщик программ — сослаться на него на странице обновления. Владелец системы всё равно устанавливал фактическую версию, выбирал исправление и проверял службу после обновления.

321 запись — размер первого публичного списка. Это не перепись всех уязвимостей и не число исправленных систем. Общий индекс дал разным диагностическим листам один адрес для трещины; ремонтный инструмент оставался у владельца машины.