CNA
CVE-Vergabestelle
CVE Numbering Authority
Eine CNA ist eine vom CVE-Programm autorisierte Stelle, die für ihren definierten Zuständigkeitsbereich eigenständig CVE-IDs vergeben darf — etwa ein Hersteller für seine eigenen Produkte. Dieses dezentrale Modell verteilt die Last der Schwachstellen-Erfassung auf viele Schultern. Es ist das organisatorische Rückgrat hinter der scheinbar simplen CVE-Nummer.
Historie & Fakten. Anfangs vergab allein MITRE CVE-IDs, was mit der wachsenden Zahl an Schwachstellen nicht skalierte. Das CNA-Modell delegiert die Vergabe an Hersteller, Forschungseinrichtungen, CERTs und Koordinierungsstellen, die jeweils für einen abgegrenzten Bereich („Scope“) zuständig sind. So kann ein Hersteller eine Lücke in seinem Produkt oft direkt mit einer ID versehen, koordiniert mit der eigentlichen Offenlegung.
Ausblick & Empfehlung. Die Qualität von CVE-Einträgen hängt unmittelbar von der jeweiligen CNA ab — Beschreibungstiefe, Produktangaben und Zeitpunkt variieren. Für das eigene Schwachstellenmanagement ist es hilfreich zu wissen, welche CNA für ein eingesetztes Produkt zuständig ist, da deren Advisory häufig präziser ist als der reine NVD-Eintrag. Das dezentrale Modell macht das Gesamtsystem zugleich robuster gegenüber dem Ausfall einer einzelnen Stelle.