CVEvsResponsible Disclosure

CVE

CVE 为每个公开的安全漏洞分配唯一编号（如 CVE-2021-44228），是安全行业沟通漏洞信息的通用语言。说「Log4Shell」别人可能不懂，说「CVE-2021-44228」全世界安全人员都知道。

Responsible Disclosure

Responsible Disclosure 是安全研究者发现漏洞后的道德规范：先私下通知厂商，给予合理修复时间（通常 90 天），修复后再公开漏洞细节。

CVE

• 格式：CVE-年份-序号
• 由 MITRE 维护，全球统一标准
• CVSS 评分衡量漏洞严重性（0-10 分）

Responsible Disclosure

• 先通知厂商，给修复时间
• 通常 90 天的披露窗口
• Google Project Zero 推动了行业标准

CVE

为公开披露的安全漏洞分配唯一标识符的全球标准编号系统

Responsible Disclosure

发现漏洞后先通知厂商修复再公开细节的安全披露规范

CVE

• 漏洞信息的标准化沟通
• 补丁管理的优先级排序
• 合规审计的漏洞追踪

Responsible Disclosure

• 安全研究者的漏洞报告
• 企业漏洞响应流程的建立
• Bug Bounty 项目的运营

CVE

CVE 系统由 MITRE 于 1999 年创建，为每个公开披露的安全漏洞分配唯一标识符。CVE 编号是安全行业的通用语言，用于漏洞通报、补丁管理和合规审计。每个 CVE 通常附带 CVSS（通用漏洞评分系统）评分，从 0 到 10 衡量严重性。2024 年新增 CVE 超过 30000 个，反映了软件生态的复杂性和安全研究的活跃度。CVE 的局限在于：编号分配有延迟、描述可能不够详细、且不包含未公开的漏洞。

Responsible Disclosure

负责任披露是安全社区的核心道德规范。流程：发现漏洞 → 私下报告给厂商 → 等待修复（90 天）→ 公开披露。Google Project Zero 的 90 天政策成为行业标准。与之对立的是 Full Disclosure（直接公开）和 Zero-day 交易（卖给攻击者）。Bug Bounty 平台（HackerOne、Bugcrowd）为负责任披露提供了制度化的渠道。