Resumo Técnico: GCVE – Um Modelo Descentralizado para Identificação, Publicação e Enriquecimento Operacional de Vulnerabilidades

1. Declaração do Problema

O ecossistema atual de informações sobre vulnerabilidades é bifurcado. Um segmento depende de registros centralizados ou coordenados centralmente (ex: o Programa CVE), que garantem identificadores estáveis e fluxos de trabalho consistentes, mas impõem limites de elegibilidade rígidos, ideologias de divulgação e caminhos de publicação que podem não acomodar todos os tipos de dados de vulnerabilidade. O segundo segmento consiste em avisos impulsionados por publicadores (fornecedores, pesquisadores, CSIRTs) que oferecem relevância operacional, mas frequentemente permanecem isolados, difíceis de correlacionar em escala e invisíveis para consumidores que dependem de um registro único.

O problema central não é meramente a disponibilidade de uma string de identificador, mas a falta de um ecossistema de ponta a ponta que permita a publicadores independentes atribuir identificadores, publicar dados estruturados, estabelecer relações e adicionar evidências, permitindo simultaneamente que os consumidores confiem seletivamente nas fontes. Os modelos existentes lutam para lidar com diversos tipos de registros — como declarações de impacto downstream, registros de remediação, esclarecimentos ou enriquecimento gerado por máquina — sem forçar um fluxo de divulgação canônico único.

2. Metodologia e Design

A iniciativa Global CVE (GCVE) propõe um modelo descentralizado que desloca a infraestrutura de vulnerabilidades de um único pipeline canônico para uma rede federada de asserções independentemente governadas e legíveis por máquina. A metodologia fundamenta-se em seis princípios de design:

• Alocação Descentralizada: Identificadores são alocados por Autoridades de Numeração GCVE (GNAs) em vez de um corpo central. O formato GCVE-<GNA-ID>-<ANO>-<ID-ÚNICO> separa a unicidade global (o namespace da GNA) da política de alocação local.
• Compatibilidade Sem Subordinação: O modelo mantém compatibilidade com o ecossistema CVE existente ao reservar o ID GNA 0 para CVEs padrão, permitindo que ferramentas correlacionem identificadores legados e novos sem exigir que o GCVE se subordine aos fluxos de trabalho do CVE.
• Transparência Sobre Uniformidade: Em vez de impor uma única ideologia de divulgação, o GCVE exige que as GNAs documentem seus modelos operacionais e de visibilidade (via BCP-06), permitindo que os consumidores tomem decisões informadas de confiança.
• Confiança como Política do Consumidor: A confiança não é uma propriedade universal, mas uma decisão de política local. Os consumidores selecionam quais GNAs e feeds ingerir, apoiados por um diretório assinado para descoberta.
• Extensibilidade por Adições Ignoráveis: O formato de registro (derivado do CVE JSON v5) inclui pontos de extensão (ex: x_gcve) permitindo que novos campos e tipos de registro sejam adicionados sem quebrar a retrocompatibilidade para consumidores que não os compreendem.
• Reimplementabilidade: O sistema baseia-se em mecanismos comuns (JSON, HTTP REST, arquivos estáticos, assinaturas destacadas) para reduzir a barreira de entrada para implementação.

A arquitetura técnica consiste em:

1. Diretório GNA Assinado: Um âncora de descoberta e confiança contendo metadados da GNA, verificada via assinaturas SHA-512 destacadas (BCP-01).
2. Plano de Publicação: As GNAs publicam diretamente via APIs REST ou dumps estáticos (BCP-03), que os consumidores buscam com base em políticas de confiança.
3. Plano de Registro: Utiliza o Formato de Vulnerabilidade GCVE (BCP-05), que suporta diversos tipos de registros, incluindo avisos, correções, objetos de remediação e declarações de relacionamento.
4. Implementação de Referência: O vulnerability-lookup serve como o agregador operacional, verificando o diretório, coletando publicações descentralizadas, correlacionando registros e expondo fluxos de dados enriquecidos.

3. Principais Contribuições

O artigo delineia cinco contribuições primárias para o campo da gestão de vulnerabilidades:

1. Princípios de Design: Articula a mudança arquitetônica em direção à autonomia, compatibilidade, descentralização e reimplementabilidade operacional.
2. Corpus BCP: Resume o conjunto atual de Melhores Práticas Atuais (BCPs) que definem o ecossistema, incluindo:
   • BCP-01: Verificação de assinatura de diretório.
   • BCP-02: Orientação prática para o tratamento e divulgação de vulnerabilidades (integrada ao modelo padrão).
   • BCP-03: Padrões de publicação descentralizada.
   • BCP-04: Recomendações de alocação de ID.
   • BCP-05: O formato de contêiner de registro de vulnerabilidade.
   • BCP-06: Requisitos da GNA e critérios de avaliação.
   • BCP-07: Formato de asserção distribuída de Vulnerabilidade Conhecida Explorada (KEV).
   • BCP-09: Expansão do escopo do registro GCVE além das descrições tradicionais de vulnerabilidade.
   • BCP-10: Melhoria na modelagem de Common Platform Enumeration (CPE).
   • BCP-05-X-01: Anotação de informações de vulnerabilidade assistida por IA e proveniência.
3. Orientação Prática Integrada: Posiciona o BCP-02 (Guia Prático de Tratamento de Vulnerabilidades) como um componente arquitetônico central em vez de um pensamento tardio externo, preenchendo a lacuna entre o conhecimento de processos formais e a implementação.
4. Escopo Expandido do Registro (BCP-09): Define formalmente um registro GCVE como qualquer objeto de informação relacionado a vulnerabilidades atribuído por uma GNA. Isso inclui não apenas descrições de vulnerabilidades, mas também esclarecimentos, registros de remediação, declarações de exposição específicas de serviço e grafos de relacionamento, permitindo o pluralismo na gestão de vulnerabilidades.
5. Operacionalização via vulnerability-lookup: Detalha a implementação de referência que operacionaliza o modelo GCVE, incluindo verificação de diretório, agregação seletiva de fontes, integração com o catálogo KEV (CISA/ENISA) e suporte para fluxos de dados enriquecidos com proveniência de IA.

4. Resultados e Status de Implementação

O artigo relata o estado atual do ecossistema GCVE até junho de 2026:

• Infraestrutura Pública: A instância db.gcve.eu (lançada em janeiro de 2026) demonstra um banco de dados aberto público agregando dados de mais de 25 fontes públicas, incluindo GNAs do GCVE e bases de dados estabelecidas.
• KEV Distribuído: A implementação do BCP-07 no vulnerability-lookup (v3.0.0 e posteriores) permite que instâncias locais publiquem seus próprios catálogos KEV e integrem feeds externos, movendo o KEV de uma lista central para um conjunto de asserções distribuídas e atribuídas à fonte.
• Proveniência de IA: O repositório gcve-enriched-dumps ilustra um padrão onde os registros originais são preservados inalterados enquanto o enriquecimento assistido por IA (severidade, taxonomia) é adicionado via campos de extensão com namespace e metadados de proveniência explícitos (BCP-05-X-01).
• Integração de Fluxo de Trabalho: O vulnerability-lookup v5.0.0 inclui APIs interoperáveis com CNA e integração com Vulnogram, permitindo que as GNAs gerenciem vulnerabilidades locais e publiquem registros através de ferramentas CVD familiares.

5. Significância e Alegações

O artigo alega que o GCVE representa uma mudança fundamental na infraestrutura de vulnerabilidades. Sua significância reside na transição de um "pipeline canônico único" para uma "rede federada de asserções independentemente governadas e legíveis por máquina".

• Pluralismo: O modelo suporta diversos casos de uso (relatórios originais, declarações downstream, registros de remediação, enriquecimento gerado por máquina) sem exigir que todos os participantes adotem a mesma ideologia de divulgação ou fluxo de trabalho operacional.
• Autonomia Operacional: Capacita as GNAs a alocar identificadores e publicar registros de forma autônoma, permanecendo interoperáveis através de Melhores Práticas Atuais compartilhadas.
• Modelo de Confiança: Redefine a confiança como uma decisão de política local em vez de uma propriedade universal, permitindo que os consumidores selecionem fontes com base em suas necessidades específicas e perfis de risco.
• Extensibilidade: Ao usar extensões ignoráveis e separar o enriquecimento dos dados autoritativos, o modelo suporta experimentação rápida (ex: processamento assistido por IA) sem fragmentar o padrão base.

O artigo conclui que, embora o GCVE tenha começado como um sistema descentralizado de alocação de identificadores, ele evoluiu para um modelo completo de publicação de vulnerabilidades que padroniza não apenas objetos, mas também as práticas mínimas compartilhadas necessárias para que atores independentemente governados cooperem. A implementação de referência (vulnerability-lookup) demonstra que este modelo é implementável hoje, fornecendo um caminho para a evolução contínua sem sacrificar a interoperabilidade.