ሲቢኦኤም ምንድን ነው?

CBOM ማለት የክሪፕቶግራፊክ ቢል ኦፍ ማቴሪያልስ ማለት ነው። በአንድ መተግበሪያ ወይም ስርዓት ውስጥ ያለ እያንዳንዱ የክሪፕቶግራፊክ ንብረት የተዋቀረ፣ በማሽን የሚነበብ ዝርዝር ነው፡ ስልተ ቀመሮች፣ የቁልፍ መጠኖች፣ የምስክር ወረቀቶች፣ የክሪፕቶግራፊክ ቤተ-መጻሕፍት እና ጥቅም ላይ የዋሉ ፕሮቶኮሎች፣ እንዲሁም ከሚተገብሩባቸው ክፍሎች ጋር እንዴት እንደሚዛመዱ። የሶፍትዌር ቁሳቁሶች ቢል (SBOM) “በዚህ መተግበሪያ ውስጥ ምን ኮድ አለ” የሚል መልስ ይሰጣል፣ አንድ CBOM ጠባብ እና ለብዙ ድርጅቶች አስቸጋሪ ጥያቄን ይመልሳል፡- “ክሪፕቶግራፊ የት ነው የሚሰራው፣ እና በትክክል ምን አይነት ነው?”

የCBOM ትርጉም፣ በቀላል አነጋገር #

አብዛኛዎቹ የደህንነት ቡድኖች ሶፍትዌራቸው የሚመረኮዘውን ክፍት ምንጭ ቤተ-መጽሐፍት በተመጣጣኝ ሁኔታ የተሟላ ዝርዝር ማዘጋጀት ይችላሉ። በጣም ጥቂት ሰዎች RSA-2048 አሁንም ጥቅም ላይ እየዋለ ባለበት፣ በ SHA-1 ላይ የትኞቹ አገልግሎቶች ላይ እንደሚመሰረቱ ወይም ነገ TLS 1.0 ቢሰናከል ምን ሊሰበር እንደሚችል መልስ ሊሰጡ ይችላሉ። CBOM የሚዘጋው ይህ ክፍተት ነው። አዲስ የክሪፕቶግራፊ አይነት አይደለም እና በራሱ የሚቃኝ መሳሪያ አይደለም፡ ውጤቱ፣ በኮድቤዝ፣ በግንባታ ወይም በመላው እስቴት ውስጥ የተመዘገበ የክሪፕቶግራፊክ አጠቃቀም ካርታ ነው።

CBOM በተለምዶ የሚከተሉትን ይመዘግባል፦

• አልጎሪዝም እና መለኪያዎቻቸው፦ የምስጠራ እና የፊርማ ስልተ ቀመሮች፣ የቁልፍ መጠኖች፣ የምስጠራ ሁነታዎች (ለምሳሌ፣ የRSA-1024 ወይም የCBC-ብቻ የምስጠራ ስብስቦችን ጊዜ ያለፈባቸው እንደሆኑ መጠቆም)
• ሰርቲፊኬቶች፦ X.509 የምስክር ወረቀቶች፣ ሰጪዎቻቸው እና የሚያበቃበት ጊዜ
• ቁልፎች እና ክሪፕቶግራፊክ ቁሳቁሶች፦ የህዝብ፣ የግል እና ሚስጥራዊ ቁልፎች፣ የማስጀመሪያ ቬክተሮች እና ተዛማጅ ቁሳቁሶች
• ክሪፕቶግራፊክ ቤተ-መጻሕፍት እና ሞጁሎች: የትኛው ቤተ-መጽሐፍት የተወሰነ ስልተ ቀመር እና ስሪቱን እንደሚተገብር
• ፕሮቶኮሎች፦ TLS፣ IPsec እና ሌሎች የደህንነት ፕሮቶኮሎች ጥቅም ላይ እየዋሉ ነው፣ ይህም አሁንም ንቁ የሆኑ የተቋረጡ ስሪቶችን ጨምሮ
• ግንኙነቶች፦ የትኛው አካል የትኛውን ቤተ-መጽሐፍት እንደሚጠራ እና የትኛው ፕሮቶኮል በእሱ ስር በየትኛው ስልተ-ቀመር ላይ የተመሠረተ እንደሆነ

ሲቢኦኤም ከ SBOM: ልዩነቱ ምንድን ነው #

An SBOM የሶፍትዌር ክፍሎችን እና ጥገኝነታቸውን ይዘረዝራል። CBOM ጠባብ እና ጥልቅ ነው፡ በእነዚያ ክፍሎች ውስጥ ያለውን ክሪፕቶግራፊ ወስዶ በክሪፕቶግራፊክ ቃላት ይገልጸዋል SBOM በጭራሽ ለመያዝ የተነደፈ አልነበረም። የጥገኝነት ዝርዝር አንድ መተግበሪያ የተወሰነ የTLS ቤተ-መጽሐፍትን እንደሚጠቀም ሊነግርዎት ይችላል፤ ቤተ-መጽሐፍቱ የትኛውን የምስጠራ ስብስቦች እንዲፈቅድ እንደተዋቀረ ወይም ከኋላው ያለው የምስክር ወረቀት ሊያልቅ እንደሆነ አይነግርዎትም። በተግባር፣ ሁለቱም ተዛማጅ ናቸው። የጎለመሱ ድርጅቶች SBOM ልምምድ በCBOM ላይ ቅድሚያ ሊሰጠው ይገባል፣ ምክንያቱም እነዚህ ክፍሎች የሚተገብሩበትን ክሪፕቶግራፊ ለማሳመር ክፍሎችን የሚቀርጽበት ተመሳሳይ የግኝት ሂደት ሊራዘም ይችላል።

ለምን አሁን አስፈላጊ ነው። #

ሶስት የተለያዩ ግፊቶች የክሪፕቶግራፊክ ክምችትን ከአስፈላጊ ነገሮች ወደ ሰነድ መስፈርት እየገፉ ነው፡

የድህረ-ኳንተም ክሪፕቶግራፊ (PQC) ፍልሰት። አንድ ድርጅት ከክላሲካል ክሪፕቶግራፊ ለመሸሽ ከመቻሉ በፊት፣ ክሪፕቶግራፊው ጥቅም ላይ የሚውልበትን ትክክለኛ ካርታ ያስፈልገዋል። CBOM ያ ካርታ ነው። የደህንነት ቡድን የPQC ፓይለትን አስቀድሞ እንዲቃኝ ያስችለዋል።cisኤሊ (ለምሳሌ፣ በRSA-2048 ላይ በተወሰነ CA የተሰጠ የምስክር ወረቀት የሚጠቀም እያንዳንዱ አገልግሎት) እና በጊዜ ሂደት የፍልሰት ሂደቱን መከታተል፣ ተጋላጭነትን ከመገመት ይልቅ።

የክሪፕቶ ቅልጥፍና። የተቋረጡ ስልተ ቀመሮች እና ደካማ ውቅሮች እራሳቸውን አያሳውቁም። CBOM የSHA-1 አጠቃቀምን፣ አጭር የቁልፍ ርዝመቶችን ወይም TLS 1.0/1.1 አሁንም ነቅቷል፣ ስለዚህ አንድ ቡድን ስርዓቱን በእጅ ከኦዲት ከማድረግ ይልቅ በእውነት ሊበዘበዝ የሚችል ነገር ቅድሚያ መስጠት ይችላል።

የቁጥጥር ሞመንተም። ጽንሰ ሐሳቡ ከAppSec ምርጥ አሠራር ወደ ግልጽ የመንግስት መስፈርት ተሸጋግሯል። ሰኔ 22፣ 2026፣ ዋይት ሀውስ “ሀገሪቱን ከላቁ የክሪፕቶግራፊክ ጥቃቶች መጠበቅ” የሚለውን የሥራ አስፈፃሚ ትዕዛዝ 14412 ፈርሟል። CISA እና NIST በ270 ቀናት ውስጥ ለCBOM ዝቅተኛውን ንጥረ ነገር ለማተም፣ ይህም የቁሳቁስ ክሪፕቶግራፊክ ሂሳብ ለመጀመሪያ ጊዜ በፌዴራል ፖሊሲ ውስጥ እንደተገለጸ ቅርስ ተብሎ ተሰይሟል። የNIST የራሱ የPQC ፍልሰት መመሪያ በተናጥል አንድን ማጣመር ይመክራል። SBOM ድርጅቶች ለኳንተም-አስተማማኝ ስልተ ቀመሮች ሲዘጋጁ ከ CBOM ጋር።

CBOM እንዴት እንደሚፈጠር #

ጽንሰ-ሐሳቡ የተጀመረው እንደ ማራዘሚያ ነው ሳይክሎን ዲኤክስ SBOM standardበ OWASP ስር ተጠብቆ የቆየ ሲሆን ይህም በ CycloneDX v1.6 ውስጥ የተወሰነ የክሪፕቶ-እሴት አካል አይነት አክሏል። ያ አካል ጥቅም ላይ የዋለውን የክሪፕቶግራፊክ ፕሪሚየም፣ ልዩነት እና ሁነታን እንዲሁም የኤፒአይ ጥሪዎችን እና የክሪፕቶግራፊክ ስራው የሚከናወንባቸውን የኮድ ቦታዎችን ይመዘግባል፣ ይህም CBOM በተመሳሳይ መንገድ እንዲፈጠር ያስችለዋል SBOM ነው፡ ከምንጭ ኮድ የማይለዋወጥ ትንተና፣ ጥገኝነት ይገለጣል፣ እና ምንጭ በማይገኝባቸው ጉዳዮች ላይ እየጨመረ የሚሄድ የሁለትዮሽ ትንተና።

በተግባር፣ ጥቅም ላይ ሊውል የሚችል CBOM መፍጠር ቀደም ሲል ጥቅም ላይ የዋለውን ተመሳሳይ የሶፍትዌር ቅንብር ትንተና አይነት ላይ የተመሠረተ ነው SBOM የክሪፕቶግራፊክ ቤተ-መጽሐፍት ጥሪዎችን፣ የምስክር ወረቀት አያያዝ ኮድን እና የፕሮቶኮል ውቅርን ለመለየት የተዘረጋ፣ ከዚያም ከሚታወቁ ድክመቶች (ከተቋረጡ ስልተ ቀመሮች፣ አጭር ቁልፎች፣ ጊዜያቸው ያለፈባቸው ወይም በቅርቡ የሚያልቁ የምስክር ወረቀቶች) ጋር የተቆራኘ በመሆኑ ክምችቱ አንድ ቡድን የማይንቀሳቀስ ዝርዝር ሳይሆን ሊሰራበት የሚችልበት ነገር ይሆናል።

CBOM የማይሸፍነው ነገር #

CBOM በአንድ መተግበሪያ ኮድ እና ጥገኝነት ውስጥ ምን እንደተገነባ ይገልጻል። እንደ ቁልፍ የማዞሪያ መርሃ ግብሮች፣ የሃርድዌር ደህንነት ሞጁል አጠቃቀም ወይም በቀጥታ ሰርቨር ላይ የሚፈጸም የሩጫ ጊዜ ሚስጥራዊ ስብስብ ማስፈጸሚያ ያሉ የአሠራር ውቅርን በራሱ አይይዝም። የተሟላ የክሪፕቶግራፊክ አቀማመጥ CBOMን ከዚያ የአሠራር አውድ ጋር ያጣምራል፤ CBOM የመነሻ ክምችት ነው፣ ሙሉውን ምስል አይደለም።

የዚጄኒ ASPM መድረክ ከኤ ጋር በመሆን CBOM ያመነጫል። SBOM እና AI-BOM እንደ አንድ የተዋሃደ የንብረት ክምችት አካል ሆኖ፣ ስለዚህ የክሪፕቶግራፊክ አደጋ ከቀሪው የመተግበሪያ ደህንነት አቋምዎ ጋር ተመሳሳይ እይታ አለው።

በየጥ #