再保险:[CVEPRI]处理由史蒂夫istey从而向发现新的漏洞

——开始PGP签名的消息- - - - - -哈希:SHA1我同意迈克,让不同层次的原因是防止有人滥用这个系统和可能给很多额外的工作内容团队和编辑委员会。我不认为这是作为一个团队成员的问题。肯| - - - - -原始消息- - - - - - |:owner-cve-editorial-board-list@lists.mitre.org | (mailto: owner-cve-editorial-board-list@lists.mitre.org]代表迈克| |普罗塞|发送:星期四,9月21日,2000年的上午9:45 |:“Steven m . Christey”;cve-editorial-board-list@lists.mitre.org |主题:RE: [CVEPRI]处理新漏洞发现史蒂夫|空空istey | | |我想既然你(不是吗?)宣布| |斜的一员,作为一个个体,即使你宣布某种信任| |水平必须给组织,通过组织|。任何|的人与你有不同层次的信任|我们会分配|你作为一个个体{8 >)。我相信你之间有一个区别| |让你第一个漏洞公告和作为一个|“未知”,|至少与CVE已经工作的人。|我个人没有问题你请求充分|可以预订|来弥补你发现的许多问题。你做| |显然是正确的事情在我看来与|供应商密切合作|之前做一个“完整”公开披露。| |我的美元。迈克02 | | | | - - - - -原始消息- - - - - - |:史蒂芬·m·Christey [mailto: coley@LINUS.MITRE.ORG|发送:周三,2000年9月20日下午7:11 |:cve-editorial-board-list@lists.mitre.org |主题:[CVEPRI]处理新漏洞发现史蒂夫| Christey | | |: | |我最近发现一些新的漏洞在一些软件。我|与软件供应商合作,确保修复|可用之前我通常的地方宣传它。我也计划|数字在我最初的声明包括候选人。| |由于增加了CVE |分析幕后的候选人,以及一些其他non-CVE工作我参与|开发源代码分析工具,很可能我|或CVE内容的另一个成员的团队将来会发现更多的|漏洞。| |有一些潜在的领域中,可能会有一个真正的或|感知的利益冲突,我想和董事会审查|会员。你的反馈是欣赏,你可以直接回复|我如果你想让私人评论。| | 1)我有点担心,如果我透露这些漏洞,|然后它可能阻止他人请求CVE候选人数字|从我在未来。有些人可能会担心,如果他们提供|我的细节要求候选人时,我可以扭转|宣布,然后声称我是发现者。这个|是一个问题,因为我们将开放候选人预约|(以前称为私人候选人分配),更多的人在未来几个月|。| |我认为董事会成员就不会信任的问题|我:-)不过,候选人|预订将提供给谁问,包括那些可能不相信我。 If such an | event were to theoretically happen, it would be my word against | theirs. | | A mitigating factor in this is that I would expect to personally | notify and work with vendors on all newly discovered | vulnerabilities, in which case the vendor could be a neutral third | party. In addition, those who request candidate numbers do not | necessarily need to provide me with any details. | | 2) Diligence Level 1 for CVE candidate reservation allows the | assignment of 1 CVE candidate number to an unknown party. (See |http://cve.mitre.org/board/archives/2000-05/msg00179.html)。自|我没有announcced任何漏洞在过去,在那|感觉我是一个未知的聚会,和我的勤奋程度是1。然而,|我的发现,2单独的漏洞|将披露。建立在勤奋级别2,然而,|我需要至少3宣布新的安全|问题。| |一个异常应该为“可信的人没有| 3宣布新的安全漏洞”(假设我信任;-)|或者我应该被迫只使用一个候选人吗?有人|关心勤奋水平呢?| | 3)不管我如何获得一个考号公告之前,|候选人将通过编辑|董事会审查过程的其余部分和其他候选人,和其他人一样受到|投票要求。| |我知道你的想法。我相信供应商将有修复|在几天。| |谢谢,——史蒂夫- - - - -开始PGP签名——版本:PGPfreeware 6.5.3非商业使用<http://www.pgp.com> iQA / AwUBOcoVE3fba3jWxdCmEQLwgQCgjbGDKfDqJoPm0fBqTb9rt + IvFBAAoJYb aWYw0LI3w28FTNbKSRXrXn4F = x3QX - - - - - - - - - - -端PGP签名