Wij bouwen jouw unieke
Game PC op maat

DIVD registreert als eerste onafhankelijke Nederlandse partij CVE-nummers

De vrijwillige beveiligingsorganisatie DIVD is de eerste onafhankelijke Nederlandse organisatie die CVE-nummers mag registreren als CVE-nummeringsautoriteit. Hierdoor kan de DIVD nu eigen CVE-nummers aanmaken en hoeft niet meer te wachten op andere organisaties.

Het Dutch Institute for Vulnerability Disclosure is sinds februari een CVE Numbering Authority, kortweg CNA, waarmee de vrijwilligersorganisatie zelf CVE-nummers aan kwetsbaarheden kan toekennen en toevoegen aan de CVE-lijst. De organisatie kan dit doen voor kwetsbaarheden die ze zelf ontdekt, of voor kwetsbaarheden die worden doorgegeven via het nieuwe bug bounty-programma . CVE is een afkorting voor Common Vulnerabilities and Exposures. Aan een kwetsbaarheid wordt een CVE-nummer toegekend om de communicatie en afstemming over een kwetsbaarheid te vergemakkelijken.

CNA's moeten worden goedgekeurd door de CVE-organisatie en moeten bijvoorbeeld aantonen dat ze een openbaar beleid inzake openbaarmaking van kwetsbaarheden hebben. Op het moment van schrijven zijn er 210 CNA's , waarvan vier in Nederland en één in België. Drie van deze vijf partners mogen alleen CVE-nummers toekennen aan hun eigen projecten. Een vierde bedrijf, Airbus, kan naast het toewijzen van CVE-nummers aan Airbus-kwetsbaarheden ook CVE-nummers toewijzen aan kwetsbaarheden in software van derden die niet binnen het domein van een andere CNA vallen. De DIVD is de enige CNA in Nederland en België die uitsluitend bestaat uit beveiligingsonderzoekers en onafhankelijk onderzoek doet naar kwetsbaarheden.

De CVE-autoriteiten mogen niet aan alle kwetsbaarheden CVE-nummers toekennen, maar alleen aan kwetsbaarheden die binnen hun domein vallen. Het domein van de DIVD betreft alle kwetsbaarheden die DIVD-onderzoekers vinden en kwetsbaarheden die door externe onderzoekers naar voren worden gebracht, mits deze kwetsbaarheden zich bevinden in managed service providers en materiedeskundige software en niet onder de scope van een andere CNA vallen.

Doordat de DIVD nu een CNA is, kan het instituut nu eigen CVE-nummers aanmaken zonder bij andere CNA's aan te kloppen. Hierdoor krijgen DIVD-kwetsbaarheden sneller een CVE-nummer. De DIVD is opgericht door de bekende ethische hackers Victor Gevers en Chris van 't Hof, en oud-Kamerlid Astrid Oosenbrug. De organisatie zoekt naar bekende kwetsbaarheden in software en neemt contact op met de leveranciers van die software via gecoördineerde openbaarmaking van kwetsbaarheden. Zo werkte het instituut samen met Kaseya om de kwetsbaarheden op te lossen voordat ze vorig jaar werden gebruikt om de grote ransomware-aanval uit te voeren.