Re:试点活动通知CVE汽车工作组

在5/9/17下午3:15,Kurt Seifried写道:

> >我以为我们会有一个出版模式CNA只是发布的地方
> >他们的父母,直到它击中横切。
>
>我建议的模型中,每一个中央社出版,至少CVE MVP
>格式(但更多的是好的,比如DWF需求)。我猜这是拉
>不推呢?父母必须需要拉/总从他们
>孩子。
>
>清楚当我们讨论出版有两种非常不同的
>的方面:
>
> 1)公开出版的CVE(例如在一个安全咨询)
> 2)出版CVE,最终在斜方数据库
>
>我只是谈论# 2。至于# 1我真的不在乎(如。
>他们可能仅仅使用提交的CVE # /问题跟踪器和没有一个
>咨询本身,但只要他们发布的CVE父母和
>最终横切谁在乎)。我不想dictacting开始
>安全过程使用CVE(如/ etc任何人可以必须发布
>最低CVE格式CSV或JSON格式吗?如果这些数据
>是在他们的咨询形式,这是一个PDF ?)。

我也只谈论# 2。我的假设是,必须提交或
当脆弱公共发布CVE条目,使用
适当的MVP或MVP +。CNA也可能发布一个顾问(# 1),但是
CVE记录(# 2)是必需的。

>这种方式,任何人都可以从任何CNA拉,横切或NVD可以拉
>所有/很多区域。这将允许更多的灵活性在聚合,
>可能花费更多的努力的一个中心聚合器(斜方)。
>
>我认为中央聚合模型是唯一的出路。否则我们
>承认我们放弃斜接有一个完整的数据库视图。注意:
>区块链将解决这些问题一堆……只是说=)。

为什么不能斜接刚从所有的下属必须立即拉
(从他们反过来要求拉)?这就给主教法冠
完整的视图。

我不会声称自己是一个区块链专家,但我与同事交谈
在CERT / CC模型签署断言漏洞(例如,
Red Hat声称一个blob脆弱性信息是正确的,CERT / CC
同意和迹象,别人不同意和迹象……)。

——艺术