CBOM signifie Nomenclature Cryptographique des Matériaux. Il s'agit d'un inventaire structuré et lisible par machine de tous les actifs cryptographiques d'une application ou d'un système : les algorithmes, les tailles de clés, les certificats, les bibliothèques cryptographiques et les protocoles utilisés, ainsi que leur relation avec les composants qui les implémentent. Nomenclature du logiciel (SBOM) Alors qu'une CBOM répond à la question « quel code se trouve dans cette application », une CBOM répond à une question plus précise et, pour de nombreuses organisations, plus difficile : « où la cryptographie est-elle exécutée, et de quel type exactement ? »
Signification de CBOM, en termes simples #
La plupart des équipes de sécurité peuvent fournir une liste relativement complète des bibliothèques open source dont dépend leur logiciel. En revanche, beaucoup moins sont capables de répondre aux questions suivantes : où RSA-2048 est encore utilisé ? Quels services reposent sur SHA-1 ? Quelles seraient les conséquences d'une désactivation de TLS 1.0 demain ? C'est précisément ce manque qu'un CBOM vient combler. Il ne s'agit pas d'une nouvelle forme de cryptographie, ni d'un outil d'analyse à proprement parler : c'est le résultat, une cartographie documentée de l'utilisation des techniques cryptographiques au sein d'un code source, d'une version ou d'un système complet.
Un CBOM enregistre généralement :
- Les algorithmes et leurs paramètres: algorithmes de chiffrement et de signature, tailles de clés, modes de chiffrement (par exemple, signaler les suites de chiffrement RSA-1024 ou CBC uniquement comme obsolètes)
- CertificatsCertificats X.509 : leurs émetteurs et leur date d’expiration
- Clés et matériel cryptographique: clés publiques, privées et secrètes, vecteurs d'initialisation et matériel connexe
- Bibliothèques et modules cryptographiques: quelle bibliothèque implémente un algorithme donné, et sa version
- Protocoles: TLS, IPsec et autres protocoles de sécurité utilisés, y compris les versions obsolètes encore actives
- Relations: quel composant fait appel à quelle bibliothèque, et quel protocole repose sur quel algorithme sous-jacent
CBOM vs SBOMQuelle est la différence ? #
An SBOM Une liste de composants logiciels et de leurs dépendances est fournie. Une CBOM est plus précise et plus détaillée : elle décrit la cryptographie à l’intérieur de ces composants en termes cryptographiques. SBOM n'a jamais été conçu pour la capture. Une liste de dépendances peut indiquer qu'une application utilise une bibliothèque TLS particulière ; elle ne précise pas les suites de chiffrement autorisées par cette bibliothèque, ni si le certificat associé est sur le point d'expirer. En pratique, les deux sont complémentaires. Les organisations disposant d'un système TLS mature SBOM Les praticiens ont une longueur d'avance sur la CBOM, car le même processus de découverte qui cartographie les composants peut être étendu pour cartographier la cryptographie que ces composants mettent en œuvre.
Pourquoi c'est important maintenant #
Trois pressions distinctes font passer l'inventaire cryptographique d'un atout appréciable à une exigence documentée :
Cryptographie post-quantique Migration (PQC). Avant qu'une organisation puisse abandonner la cryptographie classique, elle a besoin d'une cartographie précise de son utilisation. Une CBOM (Cryptographie de Marque de Base de Données) constitue cette cartographie. Elle permet à une équipe de sécurité de définir le périmètre d'un projet pilote de PQC (Cryptographie de Qualité de Prestation) avant sa mise en œuvre.cisely (par exemple, chaque service utilisant un certificat émis par une CA spécifique sur RSA-2048) et suivre les progrès de la migration au fil du temps, plutôt que de deviner l'exposition.
Agilité crypto. Les algorithmes obsolètes et les configurations vulnérables ne se signalent pas d'eux-mêmes. Un CBOM (Content-Based Accountability Office) met en évidence l'utilisation de SHA-1, les clés courtes ou le maintien de TLS 1.0/1.1, permettant ainsi à une équipe de prioriser les vulnérabilités réellement exploitables au lieu d'effectuer un audit manuel système par système.
Dynamique réglementaire. Le concept est passé d'une bonne pratique de sécurité applicative à une exigence gouvernementale explicite. Le 22 juin 2026, la Maison Blanche a signé le décret présidentiel 14412, intitulé « Sécuriser la nation contre les attaques cryptographiques avancées », qui enjoignait CISL'Agence américaine pour la sécurité informatique (AAS) et le NIST publieront les éléments minimaux d'une nomenclature de composants cryptographiques (CBOM) dans un délai de 270 jours. C'est la première fois qu'une nomenclature de composants cryptographiques est définie comme un artefact dans la politique fédérale. Par ailleurs, les recommandations du NIST concernant la migration des contrôles qualité des produits (PQC) préconisent d'associer un SBOM avec une CBOM alors que les organisations se préparent aux algorithmes à sécurité quantique.
Comment une nomenclature de base (CBOM) est générée #
Le concept est né d'une extension de CycloneDX SBOM standard, maintenu sous l'égide d'OWASP, qui a ajouté un type de composant dédié aux actifs cryptographiques dans CycloneDX v1.6. Ce composant enregistre la primitive cryptographique, sa variante et le mode utilisé, ainsi que les appels d'API et les emplacements de code où l'opération cryptographique a lieu, permettant ainsi de générer une CBOM de la même manière qu'un SBOM est : à partir de l’analyse statique du code source, des manifestes de dépendances et, de plus en plus, de l’analyse binaire dans les cas où le code source n’est pas disponible.
En pratique, la génération d'une CBOM utilisable dépend du même type d'analyse de composition logicielle que celle déjà utilisée pour SBOM La génération est étendue pour reconnaître les appels de bibliothèque cryptographique, le code de gestion des certificats et la configuration du protocole, puis corrélée aux faiblesses connues (algorithmes obsolètes, clés courtes, certificats expirés ou sur le point d'expirer) afin que l'inventaire devienne un outil sur lequel une équipe peut agir plutôt qu'une liste statique.
Ce qu'une nomenclature d'usage général (CBOM) ne couvre pas #
Une CBOM décrit les éléments intégrés au code d'une application et ses dépendances. Elle ne rend pas compte, à elle seule, de la configuration opérationnelle, comme les calendriers de rotation des clés, l'utilisation des modules de sécurité matériels ou l'application des suites de chiffrement en cours d'exécution sur un serveur en production. Une stratégie cryptographique complète combine une CBOM avec ce contexte opérationnel ; la CBOM constitue l'inventaire initial, mais pas l'ensemble des éléments.
Xygéni ASPM la plateforme génère un CBOM à côté d'un SBOM et AI-BOM dans le cadre de son inventaire d'actifs unifié, de sorte que le risque cryptographique soit considéré au même titre que le reste de votre posture de sécurité applicative.
QFP #
Non, bien que l'acronyme ait été utilisé dans les deux sens par le passé. Certains secteurs, comme celui des dispositifs médicaux, ont employé l'expression « nomenclature de cybersécurité » pour désigner un inventaire de sécurité plus large. Dans le domaine de la sécurité applicative et de la chaîne d'approvisionnement logicielle, CBOM fait désormais spécifiquement référence aux actifs cryptographiques.
An SBOM À elle seule, une nomenclature de composants (CBOM) ne vous indiquera pas les algorithmes, les tailles de clés ou les certificats utilisés, mais seulement les composants et bibliothèques présents. Une CBOM ajoute cette couche d'information. De nombreuses équipes créent une CBOM comme extension d'une nomenclature existante. SBOM programme plutôt que comme un effort séparé partant de zéro.
Les exigences sont en train d'émerger plutôt que d'être fixées. Le décret exécutif 14412 (juin 2026) est la première politique à nommer directement un CBOM, donnant des directives CISL'A et le NIST définiront les éléments minimaux, avec des recommandations attendues début 2027. Aucune norme ISO/CEI standard Le format CBOM existe déjà. Le format pratique utilisé aujourd'hui est l'extension CycloneDX CBOM.
Toute organisation prévoyant une migration vers la cryptographie post-quantique, opérant dans un secteur réglementé où l'hygiène cryptographique est auditée, ou soumise à de nouvelles exigences fédérales en matière d'inventaire cryptographique, devrait considérer la génération de CBOM comme une priorité à court terme plutôt que comme une priorité future.
