A finales de la década de 1990, las herramientas de seguridad tenían cada una sus propios nombres para los mismos fallos, por lo que una alerta de un escáner no podía correlacionarse con un aviso de un proveedor ni con la entrada de una base de datos de otro producto. La información sobre una vulnerabilidad estaba dispersa bajo etiquetas incompatibles.
David Mann y Steven Christey, de MITRE, propusieron una solución en un documento técnico, «Towards a Common Enumeration of Vulnerabilities», presentado en un taller de Purdue en enero de 1999. Un grupo de trabajo —posteriormente el Consejo Editorial de CVE, de 19 miembros— creó las primeras 321 entradas de CVE, y la lista se lanzó oficialmente en septiembre de 1999.
La medida fue una capa de nomenclatura, no un monopolio de contenido: CVE se mantuvo deliberadamente neutral respecto a la gravedad y los detalles, permitiendo que proveedores, investigadores y herramientas conservaran sus propias descripciones mientras compartían un identificador. En diciembre de 2000, 29 organizaciones habían declarado 43 productos compatibles con CVE.
La adopción se multiplicó. La Base de Datos Nacional de Vulnerabilidades del NIST se construye en torno a las entradas de CVE; las directrices del NIST recomendaron el esquema; OWASP, Symantec y la prensa especializada citan los ID de CVE, y la UIT-T adoptó CVE como recomendación internacional (X.1520). La nomenclatura se convirtió en el lenguaje común de la gestión de vulnerabilidades.
Un ID gratuito por fallo; todo lo demás puede no coincidir
Un identificador neutral, público y gratuito eliminó la barrera para el acuerdo: nadie tuvo que renunciar a su propia base de datos.
Cada proveedor podía citar el mismo ID en un aviso, dando a la industria una referencia cruzada universal.
El NIST construyó la Base de Datos Nacional de Vulnerabilidades sobre CVE, convirtiéndola en la columna vertebral de la seguridad gubernamental y empresarial.
Los escáneres y los avisos se volvieron interoperables a nivel de nomenclatura sin ningún formato de contenido compartido.
Si el ecosistema no puede ponerse de acuerdo sobre el contenido, démosle una capa de nomenclatura compartida: la identidad es lo más barato de estandarizar y desbloquea la interoperabilidad.
CVE creció de 321 entradas a más de 100.000, con una red global de Autoridades de Numeración de CVE que asignan ID en nombre del programa. Los fallos famosos se conocen por sus ID —Heartbleed es CVE-2014-0160— y el identificador aparece en avisos, escáneres, parches y reportajes de todo el mundo.
CONSULTA LAS PRUEBAS
Las fuentes
- CVE — History (archived CVE website) CVE Program / MITRE · cve.org
- A History in Open Vulnerability Management Standards, and Initiatives Nucleus Security · nucleussec.com ·