Il database di sicurezza utilizzato da Apple diventa indipendente dopo il taglio dei finanziamenti

Apple, insieme ad altre aziende tecnologiche, si affida al programma Common Vulnerabilities and Exposures (CVE) per identificare e monitorare le falle di sicurezza nel suo software. Questa risorsa cruciale per la cybersecurity ora affronta un futuro incerto, dopo che i finanziamenti federali sono stati improvvisamente interrotti.

In risposta alla crisi, una coalizione di membri di lunga data del CVE Board ha annunciato oggi la formazione della CVE Foundation, un’organizzazione non-profit dedicata a garantire la continua operatività del sistema di identificazione delle vulnerabilità.

CVE, come pietra angolare dell’ecosistema globale della cybersecurity, è troppo importante per essere vulnerabile essa stessa”, ha affermato Kent Landfield, un funzionario della Fondazione appena costituita. “I professionisti della cybersecurity in tutto il mondo si affidano agli identificatori e ai dati CVE come parte del loro lavoro quotidiano, dagli strumenti di sicurezza agli avvisi, all’intelligence e alla risposta alle minacce. Senza CVE, i difensori si troverebbero in una posizione di enorme svantaggio contro le minacce informatiche globali.

Il programma CVE fornisce un sistema standardizzato per identificare e catalogare le vulnerabilità di sicurezza in tutti i software e hardware, inclusi macOS, iOS, iPadOS e altri prodotti Apple. Quando i ricercatori di sicurezza scoprono delle falle, vengono assegnati identificatori CVE univoci che consentono a società come Apple di coordinare patch e aggiornamenti.

MITRE Corporation, che ha gestito il programma sotto contratto con il Dipartimento per la Sicurezza Interna degli Stati Uniti, ha confermato che i finanziamenti governativi sono scaduti il 16 aprile. Reuters riferisce che la scadenza potrebbe essere collegata a una radicale riduzione del governo federale guidata in parte dal Dipartimento per l’Efficienza Governativa (DOGE). La U.S. Cybersecurity and Infrastructure Security Agency (CISA), anch’essa esposta al ridimensionamento, ha dichiarato di essere “al lavoro con urgenza per mitigare l’impatto”, poiché l’improvvisa interruzione dei finanziamenti minaccia di interrompere la gestione delle vulnerabilità in tutto il mondo.

Esperti di sicurezza hanno avvertito che senza CVE, gli sforzi di cybersecurity affronterebbero un “caos totale”, poiché il linguaggio comune utilizzato per comunicare sulle vulnerabilità scomparirebbe di fatto. Un ricercatore l’ha paragonato a “cancellare improvvisamente tutti i dizionari”.

La CVE Foundation, di recente costituzione, mira a trasformare il programma in un modello non-profit dedicato che non dipenda da un singolo sponsor governativo. Gli organizzatori della Fondazione hanno rivelato di essersi preparati a questa possibilità nell’ultimo anno.

Per la comunità internazionale della cybersecurity, questa mossa rappresenta un’opportunità per stabilire una governance che rifletta la natura globale dell’attuale panorama delle minacce, ha dichiarato la Fondazione nel suo annuncio.

Il taglio dei finanziamenti colpisce anche il programma correlato Common Weakness Enumeration (CWE), che aiuta aziende come Apple a identificare potenziali problemi di sicurezza prima che diventino vulnerabilità.

La CVE Foundation dovrebbe rilasciare maggiori dettagli sulla sua struttura e sui piani di finanziamento nei prossimi giorni. Apple e altre importanti aziende tecnologiche probabilmente svolgeranno un ruolo significativo nel sostenerla come parte critica dell’infrastruttura di cybersecurity.