O que é CNA
CNA é a sigla de CVE Numbering Authority. A organização recebe autorização do Programa CVE para atribuir identificadores CVE e publicar o registro dentro de um escopo definido.
O escopo pode cobrir um produto, uma linha de produtos ou um conjunto de projetos. A lista oficial informa qual organização responde por cada área e qual contato recebe o relato.
O que a CNA faz
A CNA recebe o relato, confirma o comportamento, atribui o identificador e publica o registro com a descrição e as referências. Também atualiza o registro quando a correção é publicada.
Ela não substitui o fornecedor na correção. A CNA organiza a identificação pública e o histórico da falha, e o fornecedor publica a versão corrigida.
CNA, fornecedor e pesquisador
O fornecedor pode ser uma CNA e cuidar da atribuição. Quando não for, o pesquisador pode procurar uma autoridade que cubra o produto.
O MITRE atua como CNA de último recurso em parte dos casos. A confirmação está na lista oficial do programa, e não em suposição sobre o escopo.
Exemplo
Como conferir
Consulte a lista oficial de CNAs e confira o escopo antes de enviar o relato. Verifique o contato de segurança do projeto e o prazo de resposta. Registre o identificador quando ele for atribuído.
O CVE identifica a falha, e o CVSS mede a gravidade. O arquivo security.txt informa o canal de relato do domínio.
Dúvidas frequentes
Perguntas frequentes sobre CNA
- CNA é a mesma coisa que CNAE?
- Não. A CNA, ou CVE Numbering Authority, atribui identificadores de vulnerabilidade. O CNAE classifica a atividade econômica de uma empresa no Brasil.
- Toda empresa pode ser CNA?
- Não. A organização precisa ser autorizada pelo Programa CVE e aceitar um escopo. A solicitação passa por avaliação e inclui o compromisso de publicar os registros.
- A CNA corrige a falha?
- Não. A correção continua com o fornecedor do software. A CNA registra a identificação, o registro público e as referências da falha.
- Como encontrar a CNA de um produto?
- A lista oficial do Programa CVE informa as organizações e os escopos. Consulte o site do projeto e o contato de segurança antes de enviar o relato.
Para continuar
Recursos relacionados
Documentação
CVE Program: CNAs
Lista as autoridades, os escopos e o processo de participação.
Abrir recursoSite de referência
CVE Program: glossário
Define CNA, CVE Record e os termos usados no programa.
Abrir recursoAplicação na formação
Formação DevOps
Na Formação DevOps, a CNA aparece no caminho do pesquisador que relata uma falha e precisa de um identificador CVE.
Conhecer a formação
Fontes consultadas
Referências deste verbete
Este verbete ajudou você?
Obrigado pela resposta. Ela fica salva apenas neste navegador.