Die Zulassung von Wibu-Systems als CVE Numbering Authority (CNA) ermöglicht es dem Unternehmen, Schwachstellen in CodeMeter künftig direkt mit CVE-IDs zu versehen. CodeMeter ist die Technologie von Wibu-Systems für Softwareschutz, sichere Lizenzierung, Integritätsschutz und die Umsetzung digitaler Geschäftsmodelle. (Quelle: Wibu-Systems)
Der CNA-Status gibt Wibu-Systems für seine technologische Mission als bedeutsam an: Als zentrale Plattform schützt CodeMeter Software und digitales geistiges Eigentum vor Reverse Engineering, Piraterie, unbefugter Nutzung und Manipulation. Die Technologie vereint Code-Verschlüsselung, Integritätsschutz, sichere Schlüsselverwaltung, Zugriffskontrolle und Lizenzdurchsetzung – sowohl für Desktop-Anwendungen, Cloud-Dienste, Embedded-Geräte als auch industrielle Systeme.
"Da CodeMeter ein integraler Bestandteil der Produkte, Geschäftsprozesse und softwarebasierten Geschäftsmodelle seiner Kunden sein kann, ist ein konsequentes Schwachstellenmanagement über den gesamten Produktlebenszyklus hinweg unerlässlich. Die eindeutige Identifizierung, technische Bewertung, Behebung und koordinierte Offenlegung von Schwachstellen ergänzen die in CodeMeter integrierten Schutzmechanismen und tragen zu einem ganzheitlichen Sicherheitsansatz bei", geben die Experten an.
Alvaro Forero, Leiter des Product Security Incident Response Teams (PSIRT) und Sicherheitsexperte bei Wibu-Systems, konkret: „CodeMeter wurde entwickelt, um Software, digitale Assets und die darauf basierenden Geschäftsmodelle zu schützen. Die Sicherheit unserer eigenen Technologie und unser professioneller Umgang mit potenziellen Schwachstellen sind daher zentrale Bestandteile des Mehrwerts, den wir unseren Kunden bieten. Als CVE Numbering Authority können wir CVE-ID für unsere Produkte nun direkt in unseren etablierten Prozess zur Behandlung von Schwachstellen integrieren. Das schafft für Kunden, Wissenschaftler, Produktteams und weitere Experten eine präzise und weltweit anerkannte Referenz und erleichtert die koordinierte Kommunikation und Behebung eines Sicherheitsproblems.“
Das CVE-Programm stellt ein international anerkanntes System zur einheitlichen Identifizierung, Beschreibung und Klassifizierung öffentlich bekannt gewordener Cybersicherheitslücken bereit. Jede Schwachstelle erhält eine eindeutige CVE-ID, die in Herstellerhinweisen, Schwachstellendatenbanken, Sicherheitstools, Softwareinventaren und Kundenprozessen zur Behebung von Schwachstellen verwendet werden kann.
Wie das Unternehmen weiter mitteilt, ist es als CVE Numbering Authority innerhalb seines festgelegten Zuständigkeitsbereichs direkt dafür verantwortlich zu prüfen, ob eine gemeldete Schwachstelle die CVE-Kriterien erfüllt, die entsprechende CVE-ID zu vergeben sowie den zugehörigen CVE-Eintrag zu erstellen und zu pflegen. "Damit müssen CVE-ID nicht mehr bei einer anderen CNA angefordert werden. Zugleich wird ihre Vergabe enger mit der technischen Analyse durch das PSIRT von Wibu-Systems und den zuständigen Produktteams verknüpft", so die Experten.
Vom Schwachstellenbericht zur koordinierten Offenlegung
Die Rolle als CVE Numbering Authority ist in einen etablierten Prozess für das Schwachstellenmanagement eingebettet. Wibu-Systems beschreibt den Prozess so: Das Unternehmen nimmt Meldungen zu seinen Produkten entgegen, analysiert sie, bewertet ihre potenziellen Auswirkungen, koordiniert die Behebung und Offenlegung und veröffentlicht anschließend entsprechende Sicherheitshinweise. Je nach Art und Umfang der Schwachstelle können diese Hinweise betroffene und korrigierte Produktversionen nennen, den Schweregrad und die Klassifizierung der Schwachstelle angeben sowie Updates, Gegenmaßnahmen oder weitere empfohlene Schritte beschreiben.
CVE-Einträge und Sicherheitshinweise von Wibu-Systems ergänzen sich dabei. Der CVE-Eintrag stellt die standardisierte Kennung und eine prägnante Beschreibung der Schwachstelle bereit – Informationen, die vom gesamten Cybersicherheitsökosystem benötigt werden. Der Sicherheitshinweis von Wibu-Systems liefert den produktspezifischen technischen Kontext, den Kunden benötigen, um zu beurteilen, ob sie betroffen sind und welche Maßnahmen sie ergreifen sollten.
Diese Kombination ist für die vielfältigen Einsatzszenarien von CodeMeter von besonderer Bedeutung. Je nach betroffener Komponente oder Version, verwendetem Lizenzcontainer, Betriebsumgebung, möglichem Angriffsvektor und erforderlicher Zugriffsebene kann eine Schwachstelle unterschiedlich zu bewerten sein. Durch die Verknüpfung standardisierter CVE-ID mit detaillierten produktspezifischen Sicherheitshinweisen kann Wibu-Systems diese Unterschiede transparent darstellen, ohne die Komplexität der technischen Zusammenhänge auf eine ID oder einen einzelnen Schweregrad zu reduzieren.
Wibu-Systems ist als CNA der ENISA-Root zugeordnet. Die Europäische Agentur für Cybersicherheit (ENISA) ist damit im Rahmen des CVE-Programms der direkte Ansprechpartner von Wibu-Systems. Sie unterstützt das Unternehmen bei der Einhaltung der operativen Regeln und Prozesse sowie des festgelegten Geltungsbereichs des Programms.