La minaccia di un'unica fonte per le vulnerabilità: nasce l'alternativa europea GCVE

ANALISI TECNICA

Il nuovo programma europeo GCVE (Global Cybersecurity Vulnerability Enumeration) si propone come alternativa decentralizzata al sistema statunitense CVE (Common Vulnerabilities and Exposures). A differenza del modello centralizzato di CVE gestito da MITRE, GCVE riunisce informazioni su vulnerabilità provenienti da oltre 25 fonti pubbliche tramite le autorità di numerazione delle vulnerabilità (GNAs), che possono assegnare e pubblicare identificatori di vulnerabilità in modo indipendente.

• Decentralizzazione: GCVE si basa su un modello decentralizzato, con GNAs che contribuiscono indipendentemente a un database condiviso. Questo mira a ridurre i punti di fallimento singolo e promuovere l'innovazione nella gestione delle vulnerabilità.
• Collaborazione globale: Nonostante la decentralizzazione, GCVE favorisce la correlazione globale dei dati sulle vulnerabilità, garantendo un quadro completo della situazione.
• Sovereignità digitale:** La piattaforma db.gcve.eu è ospitata e gestita dal Computer Incident Response Center Luxembourg (CIRCL), assicurando il controllo totale sull'infrastruttura, i dati e le operazioni. Questo contribuisce a rafforzare la sovranità digitale e l'autonomia strategica in Europa.

L'iniziativa GCVE nasce come risposta alle preoccupazioni per la centralizzazione del sistema CVE e la dipendenza da finanziamenti statunitensi. Il passato ha visto MITRE, l'organizzazione responsabile di CVE, affrontare momenti di incertezza a causa della cancellazione dei contratti governativi. Sebbene CISA abbia salvato il programma in extremis, l'episodio ha evidenziato la vulnerabilità di un sistema centralizzato.

Il modello GCVE offre una soluzione alternativa, più resiliente e trasparente, che si propone di migliorare l'efficienza e la velocità di documentazione delle vulnerabilità. La comunità cybersecurity vede in GCVE un importante passo verso un futuro più sicuro e autonomo.

Contesto: DI MERCATO/SICUREZZA

Il panorama della sicurezza informatica si arricchisce con l'emergere di GCVE (Global Cybersecurity Vulnerability Enumeration), un'iniziativa europea che mira a fornire un'alternativa al programma statunitense CVE (Common Vulnerabilities and Exposures).

GCVE, basato su dati provenienti da oltre 25 fonti pubbliche, si propone di ridurre i punti di fallimento singoli e promuovere l'innovazione nella gestione delle vulnerabilità. La piattaforma db.gcve.eu, ospitata dal Computer Incident Response Center Luxembourg (CIRCL), offre un punto di riferimento unificato e accessibile a tutti gli attori del settore: difensori, ricercatori, CSIRTs, fornitori e progetti open source.

Il modello GCVE si differenzia da quello centralizzato del programma CVE gestito dal MITRE. Quest'ultimo ha vissuto un periodo di incertezza nel 2022 dopo la cancellazione di contratti da parte del Dipartimento di Efficienza Governativa (DOGE) durante l'amministrazione Trump. La situazione è stata risolta dall'intervento dell'Agenzia per la Sicurezza e Infrastruttura dell'Informazione (CISA), ma l'episodio ha sollevato preoccupazioni sulla dipendenza da un unico ente.

L'emergere di GCVE viene accolto con favore da esperti del settore come William Wright, CEO di Closed Door Security e Natalie Page, responsabile della intelligence di threat presso Talion. Entrambi sottolineano l'importanza di una soluzione decentralizzata che possa garantire la resilienza e la continuità nel processo di identificazione e gestione delle vulnerabilità.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

La nascita di GCVE, un'alternativa europea al programma statunitense CVE (Common Vulnerabilities and Exposures), è stata accolta con favore dagli esperti di sicurezza. L'iniziativa open source Global Cybersecurity Vulnerability Enumeration riunisce informazioni su vulnerabilità provenienti da oltre 25 fonti pubbliche, tra cui le autorità di numerazione delle vulnerabilità GCVE (GNAs), che possono assegnare e pubblicare identificatori di vulnerabilità in modo indipendente.

"Permettendo a GNAs e altri editori di contribuire dati indipendentemente, pur beneficiando della correlazione globale, GCVE mira a ridurre i punti di fallimento singolo e a promuovere l'innovazione nella gestione delle vulnerabilità", afferma GCVE.

"L'obiettivo di db.gcve.eu è fornire alla comunità un punto di riferimento unico, unificato e accessibile pubblicamente per le informazioni su vulnerabilità, consentendo a difensori, ricercatori, CSIRTs, fornitori e progetti open source di tracciare, correlare e analizzare più facilmente gli avvisi di sicurezza in tutti gli ecosistemi".

L'idea è quella di creare un ecosistema di identificazione, divulgazione e pubblicazione delle vulnerabilità che sia decentralizzato e resiliente. La piattaforma db.gcve.eu è ospitata e gestita dal Computer Incident Response Center Luxembourg (CIRCL).

"Questo garantisce il pieno controllo sull'infrastruttura, i dati e le operazioni. Combinando software open source, dati aperti e infrastrutture controllate dall'Europa, GCVE e CIRCL contribuiscono a rafforzare la sovranità digitale, l'autonomia strategica e la fiducia nella condivisione di informazioni su vulnerabilità", aggiunge GCVE.

Preoccupazioni per il finanziamento statunitense

Il modello si contrappone nettamente al programma CVE centralizzato, gestito dal non profit americano MITRE. Lo scorso anno ha subito un periodo di intensa incertezza dopo che il Dipartimento di Efficienza del Governo (DOGE) dell'amministrazione Trump ha cancellato più di 28 milioni di dollari di contratti con MITRE.

Alla fine, l'Agenzia per la Sicurezza e Infrastruttura Cibernetica degli Stati Uniti (CISA) è intervenuta all'ultimo momento per salvare il programma, annunciando un rinnovo contrattuale di 11 mesi. Tuttavia, la crisi esistenziale che questo ha provocato è stata troppo vicina a una chiamata per molti nella comunità della sicurezza informatica, portando molti a cercare alternative.

William Wright, CEO di Closed Door Security, ha accolto il lancio di GCVE in questo senso.

"La creazione di un altro programma importante impedisce che lo shutdown del programma CVE diventi un punto di fallimento singolo", ha sostenuto. "L'istituzione di GCVE anticipa anche l'incertezza circostante il finanziamento continuato del programma CVE e, se mai dovesse essere chiuso, il sistema GCVE fornirebbe un'alternativa su cui i ricercatori e i professionisti della sicurezza informatica potrebbero affidarsi immediatamente."

Wright ha anche sottolineato le crescenti preoccupazioni riguardo alla velocità ed efficacia del programma CVE e la capacità di MITRE e NIST, che gestisce il National Vulnerability Database, per tenere il passo con un panorama delle minacce in rapida evoluzione.

"Il nuovo programma dell'UE è progettato per essere decentralizzato e compatibile con CVE, integrando e normalizzando i dati provenienti da diverse fonti e consentendo la documentazione e la pubblicazione di vulnerabilità da parte di GNAs designate, senza la necessità di un approvazione centrale", ha detto. "Spero che questo dovrebbe consentire un processo di documentazione più veloce e robusto e permettere ai governi e alle aziende di rispondere più rapidamente a minacce gravi."

Natalie Page, responsabile della intelligence sui minacci presso Talion, ha elogiato il lancio di GCVE con termini simili.

"Diversificando il programma CVE, questo significa che il mondo non dipende più unicamente da un'unica entità per le classificazioni e le divulgazioni", ha dichiarato. "Tuttavia, l'unico caveat del programma è che dovrebbe evitare di confondere le organizzazioni o causare una disallineamento con il tracciamento CVE. Dovrebbe mirare a essere compatibile

La nascita di GCVE rappresenta una risposta concreta alle preoccupazioni riguardo alla centralizzazione e al potenziale rischio di interruzione del programma CVE statunitense. La natura decentralizzata e multi-sorgente di GCVE, con GNAs indipendenti che contribuiscono a un database pubblico, offre un'alternativa resiliente e potenzialmente più efficiente. La sua compatibilità con CVE potrebbe garantire una continuità nella gestione delle vulnerabilità, mentre la velocità di pubblicazione e l'ampia partecipazione potrebbero migliorare la risposta alle minacce in tempo reale. Tuttavia, il successo di GCVE dipenderà dalla capacità di evitare confusione e mantenere un allineamento chiaro con il sistema CVE esistente.