Ten z pesymistycznymi wizjami, Microsoftem i Broadcomem

Plus parę ciekawych rzeczy typu podkopanie zaufania do CVI czy temat, w jaki sposób Google obsługuje dyski SSD i HDD. Więc co, może zaczniemy od pierwszego i pogadamy sobie chwilę więcej o Broadcomie i VMware, o którym już ostatnio też rozmawialiśmy, ale myślę, że to, co w ostatnim czasie wydarzyło się, to wymaga powtórzenia i rozszerzenia tego tematu, ponieważ jak zrozumiałem, to VMware bardzo agresywnie zaczął wychodzić do klientów i zmieniać zasady gry w swoim licencjonowaniu. Zanim skomentuję, to zrobię tylko małą dygresję a propos regularności wydawania, bo definicja prawna dziennika jest taka, że ukazuje się częściej niż raz w tygodniu.

To nie jest takie proste i oczywiste, w jaki sposób to zrobić. I teraz jakby wszyscy chcieli przeskoczyć, wracając do naszego tematu, na SSD, to by to bardzo dużo kosztowało pieniędzy. Za chwilę wrócimy w ogóle do tego SSD i HDD, bo ostatni nasz temat jeszcze będzie się w tym obszarze do tego odnosić i tego w jaki sposób firmy wykorzystują Akurat tu vendor lock do tego, żeby jakoś tam użytkowników trzymać w okręgu ośleśnionych dysków. Ale zanim do tego dojdziemy, to myślę, że już możemy sobie skoczyć do następnego tematu. To jest program, który się nazywa CVE. Rozwiń ty pełną nazwę tego, bo ona jest bardzo trudna.

Natomiast CVE to jest taka baza, która się nazywa Common Vulnerabilities and Exposures, czyli generalnie Uwspólniona Baza Błędów, Podatności, Ekspozycji, Ryzyka. Średnio na polski tłumaczy. O co chodzi? Różni producenci, różne zagrożenia, różne luki nazywają w różny sposób. CVE to jest taka baza, która w zunifikowanej formie inwentaryzuje te wszystkie podatności, każda dostaje swój numerek i teraz nieważne czy ten producent nazywa ją tak czy inaczej, czy daje jakąś taką śmieszną nazwę, czy miłą nazwę, cokolwiek, bo to producenci lubią robić takie

Dlatego, że to jest komplet informacji na temat różnych podatności. Często też informacje w bazie CVE pojawiają się zanim producent opublikuje łatkę. Więc my wiemy, że jest podatność, Wiemy ewentualnie z tej informacji, która gdzieś tam się pojawiła, co możemy zrobić, żeby ją zneutralizować, żeby zmniejszyć ryzyko wykorzystania, a producent bardzo często publikuje aktualizację dopiero za jakiś czas. To może być parę godzin, to może być parę dni, ale no nadal jakby jest jakieś tam... No tak, jak ci stoi infrastruktura na jednym producencie, to ma to dla ciebie znaczenie. To może to być. Oczywiście często jest tak, że producenci informują o tym, że jest takie właśnie CVE dopiero kiedy już wypuszczają łatkę i to jest częstszy przypadek, no ale to różnie bywa. Natomiast problem z tą bazą był taki, że w momencie kiedy Amerykanie powiedzieli przytajmy to finansować, no to co w tym momencie?

Weźmy poprawkę też na to, że to CVE to nie jest coś, co powstało wczoraj, tylko, jak mnie pamięć nie myli, to ta baza powstała jakoś jesienią 99 roku, czyli ma teraz to 26 lat. I my naprawdę, jakby większość ludzi, która pracuje w branży używała tego w zasadzie od zawsze. Więc myślę, że jest dużo takich kawałków internetu, na których my wszyscy się opieramy, a potem się nagle orientujemy, że to robi jakiś inżynier na emeryturze, który robi to od 30 lat, bo nie ma komu tego przekazać. Natomiast bardzo mi się podobały głosy różnych amerykańskich badaczy, którzy stwierdzali, że trzeba by to przenieść do takiego organu, który jest kolektywny, gdzie jedna osoba nie może podjąć głupiej, szkodliwej decyzji,