Kolejna nieprzemyślana decyzja USA uderza w światowe bezpieczeństwo. Przyszłość CVE pod znakiem zapytania.

Rząd USA obrał sobie za cel maksymalne ścięcie kosztów funkcjonowania administracji. Pod nóż poszły fundusze USAID, Radia Wolna Europa, NASA oraz agencji zajmujących się badaniami naukowymi czy ochroną klimatu. Teraz zagrożona jest baza CVE, której zamknięcie wpłynie negatywnie na bezpieczeństwo cyfrowe każdego z nas. Stany Zjednoczone kierowane przez Donalda Trumpa nie przestają zaskakiwać. Chaos dominuje na Wall Street oraz w międzynarodowych agencjach i instytucjach, które jeszcze kilka miesięcy temu wydawały się gwarantem rozwoju nauki i promowania demokracji. Dziś na nagłówki przebiła się szokująca informacja o wstrzymaniu finansowania bazy Common Vulnerabilities and Exposures (CVE), czyli globalnego systemu gromadzącego i opisującego wszelkiego rodzaju luki bezpieczeństwa w oprogramowaniu. Odcięcie finansowania dla utworzonego we wrześniu 1999 systemu CVE będzie bardzo dotkliwe nie tylko dla pracowników branży cybersecurity, którzy codzienną pracę opierają na zgłoszeniach znajdujących się w tym rejestrze, ale może okazać się niebezpieczne także dla miliardów użytkowników smartfonów, komputerów, samochodów i wszelkich urządzeń podłączonych do internetu. CVE to podstawa wydawanych łatek bezpieczeństwa Jeśli korzystasz z Windowsa, Androida lub iOS i regularnie aktualizujesz swoje urządzenie, być może zauważyłeś, że kolejne wydania patchy często zawierają listę załatanych luk bezpieczeństwa. Każda tego typu dziura w oprogramowaniu określana też jako podatność ma swój określony numer CVE. W bazie, którą zarządza organizacja non profit MITRE znajdują się zgłoszenia z całego świata dotyczące najmniejszych, ale i krytycznych problemów, które są katalogowane, opisywane i systematyzowane. Dzięki ustandaryzowaniu skali zagrożenia, producenci urządzeń i deweloperzy aplikacji czy systemów są w stanie ocenić poziom ryzyka wynikający z istnienia danej podatności, a dzięki temu mogą priorytetyzować swoją pracę, by jak najszybciej odpowiadać na pojawiające się niemal każdego dnia nowe zagrożenia. W środę, 16 kwietnia, wygasną fundusze dla MITRE na rozwój, obsługę i modernizację programu Common Vulnerabilities and Exposures Program i powiązanych programów, takich jak Common Weakness Enumeration Program. Widoczną powyżej informację przekazał Yosry Barsoum, wiceprezes MITRE i dyrektor w Center for Securing the Homeland. System CVE jest utrzymywany przez amerykańską agencję National Cybersecurity FFRDC, ale jak wspomniałem wcześniej, pieczę nad obsługą systemu sprawuje MITRE. Doniesienia Reutersa i The Register potwierdziła amerykańska Agencja ds. cyberbezpieczeństwa i bezpieczeństwa infrastruktury (CISA), która podlega National Cybersecurity FFRDC, zatem jak widać, nie jest to niestety fake news. W krótkim komunikacie stwierdzono, że toczą się pilne prace nad złagodzeniem skutków i utrzymaniem usług CVE. Cała sprawa jest o tyle szokująca, że od sprawnego działania bazy CVE w sposób bezpośredni zależy bezpieczeństwo narodowe USA.Wracając jednak na grunt codziennego korzystania z elektroniki, trzeba zdać sobie sprawę, że na zgłoszeniach znajdujących się w systemie CVE polega cała branża technologiczna. Dzięki profesjonalnemu katalogowaniu i opisywaniu wykrywanych podatności Google może przygotowywać comiesięczne patche dla Androida, Microsoft wydaje aktualizacje dla Windowsa, a Apple dla iOS. Dzięki temu, że baza istnieje od dekad, wypracowano niezawodne metody identyfikacji zagrożeń, a co za tym idzie ich jednoznacznego opisywania. Ma to taki efekt, że użytkownik jest pewien, że gdy podatność CVE-1234567 jest załatana w danej aktualizacji, to niezależnie od systemu operacyjnego, czy producenta oprogramowania, chodzi o dokładnie tę samą lukę.   https://dailyweb.pl/apple-zaoferuje-bezpieczne-ai-ktore-bedzie-szanowac-twoja-prywatnosc/ Konsekwencją odcięcia CVE od finansowania będą z pewnością opóźnienia w wydawaniu kolejnych łatek bezpieczeństwa systemów operacyjnych i oprogramowania na całym świecie. Jeśli producenci elektroniki będą zmuszeni szukać podatności na własną rękę w rozproszonych źródłach i porzucony zostanie standard ich katalogowania, czeka nas chaos. Myślę, że branża zdaje sobie sprawę z ryzyka uśmiercenia bazy CVE i być może najwięksi gracze na rynku wspólnymi siłami uratują ten system. Organizacja i przecięcie zasobów przez nowy podmiot zapewne zajmie jednak sporo czasu. Niewykluczone, że zanim to nastąpi, rząd USA wycofa się z tej pozornej oszczędności i przywróci finansowanie.