Menene CBOM?

CBOM na nufin Dokar Kayan Aiki ta Cryptographic. Kididdiga ce mai tsari, wacce za a iya karanta ta ta hanyar na'ura ta kowace kadarar sirri a cikin aikace-aikace ko tsarin: algorithms, girman maɓalli, takaddun shaida, ɗakunan karatu na sirri, da yarjejeniyoyi da ake amfani da su, tare da yadda suke da alaƙa da abubuwan da ke aiwatar da su. Dokar Kayan Aiki ta Software (SBOM) Amsa "wane lamba ne ke cikin wannan aikace-aikacen," CBOM ya amsa tambaya mai kunkuntar kuma, ga ƙungiyoyi da yawa, tambaya mai wahala: "ina ake gudanar da rubutun sirri, kuma wane irin abu ne."

Ma'anar CBOM, a bayyane take #

Yawancin ƙungiyoyin tsaro za su iya samar da cikakken jerin ɗakunan karatu na bude tushen da software ɗinsu ya dogara da su. Ƙananan mutane ne za su iya amsa inda RSA-2048 har yanzu ake amfani da shi, waɗanne ayyuka ne suka dogara da SHA-1, ko kuma abin da zai karye idan an kashe TLS 1.0 gobe. Wannan gibin shine abin da CBOM ke rufewa. Ba sabon nau'in ɓoye bayanai ba ne kuma ba kayan aikin duba bayanai ba ne kawai: fitarwa ce, taswirar da aka rubuta ta amfani da ɓoye bayanai a cikin tushen lambar sirri, gini, ko duk wani yanki.

CBOM yawanci yana rubutawa:

• Algorithms da sigoginsu: ɓoyayyen tsari da sa hannu, girman maɓalli, yanayin ɓoye bayanai (misali, yiwa RSA-1024 ko CBC-kawai alama a matsayin tsoffin bayanai)
• Takaddun: Takaddun shaida na X.509, masu bayar da su, da kuma lokacin ƙarewa
• Maɓallai da kayan ɓoye bayanai: maɓallan jama'a, na sirri, da na sirri, vectors na farawa, da kayan da suka shafi
• Dakunan karatu da kayayyaki na Cryptographic: wane ɗakin karatu ne ke aiwatar da wani algorithm da aka bayar, da kuma sigar sa
• ladabi: TLS, IPsec, da sauran ka'idojin tsaro da ake amfani da su, gami da nau'ikan da ba a amfani da su ba waɗanda har yanzu suna aiki
• dangantaka: wane ɓangare ne ke kiran wane ɗakin karatu, kuma wane tsari ne ya dogara da wane tsari ne ke ƙarƙashinsa

CBOM vs SBOM: menene bambanci #

An SBOM yana lissafa abubuwan da suka shafi software da abubuwan da suka dogara da su. CBOM ya fi kunkuntar da zurfi: yana ɗaukar bayanan sirri a cikin waɗannan abubuwan kuma yana bayyana shi a cikin kalmomin sirri SBOM ba a taɓa tsara shi don kamawa ba. Jerin dogaro zai iya gaya muku cewa aikace-aikacen yana amfani da wani takamaiman ɗakin karatu na TLS; ba zai gaya muku wane suites na sirri da ɗakin karatu ya tsara don ba da izini ba, ko kuma ko takardar shaidar da ke bayansa za ta ƙare. A zahiri, biyun suna da alaƙa. Ƙungiyoyi masu girma SBOM aiki yana da farawa kai tsaye akan CBOM, saboda ana iya faɗaɗa tsarin ganowa iri ɗaya da taswirar sassa don tsara taswirar ɓoye-ɓoye waɗanda sassan ke aiwatarwa.

Me yasa yake da mahimmanci a yanzu #

Matsi guda uku daban-daban suna tura kayan tarihi daga abin da ake buƙata zuwa abin da aka rubuta:

Post-quantum cryptography ƙaura (PQC). Kafin wata ƙungiya ta iya ƙaura daga rubutun sirri na gargajiya, tana buƙatar taswirar da ta dace ta inda ake amfani da wannan rubutun sirri. CBOM ita ce wannan taswirar. Yana ba wa ƙungiyar tsaro damar duba matukin jirgi na PQC kafin ta fara aiki.cisely (misali, kowace sabis da ke amfani da takardar shaidar da aka bayar ta wani takamaiman CA akan RSA-2048) da kuma bin diddigin ci gaban ƙaura akan lokaci, maimakon yin hasashen lokacin fallasa.

Sauƙin amfani da Crypto. Algorithms da aka daina amfani da su da kuma tsarin da ba su da ƙarfi ba sa bayyana kansu. CBOM yana nuna amfani da SHA-1, gajerun maɓallai, ko TLS 1.0/1.1 har yanzu yana aiki, don haka ƙungiya za ta iya fifita abin da ake iya amfani da shi da gaske maimakon yin bincike da hannu a tsarin ta hanyar tsarin.

Ƙa'idar aiki. Manufar ta koma daga mafi kyawun tsarin AppSec zuwa ga wata bukata ta gwamnati. A ranar 22 ga Yuni, 2026, Fadar White House ta sanya hannu kan Dokar Zartarwa mai lamba 14412, "Tsabtatar da Kasa daga Hare-haren Sirri Masu Tsanani," wanda ya jagoranci CISA da NIST za su buga mafi ƙarancin abubuwa don CBOM cikin kwanaki 270, karo na farko da aka sanya wa takardar bayanan sirri suna a matsayin wani abu da aka ayyana a cikin manufofin tarayya. Jagorar ƙaura ta NIST ta PQC ta ba da shawarar haɗa wani SBOM tare da CBOM yayin da ƙungiyoyi ke shirin yin amfani da algorithms masu aminci ga kwantum.

Yadda ake samar da CBOM #

Manufar ta samo asali ne a matsayin faɗaɗa CycloneDX SBOM standard, wanda aka kiyaye a ƙarƙashin OWASP, wanda ya ƙara wani nau'in kayan haɗin crypto-kayan aiki na musamman a cikin CycloneDX v1.6. Wannan ɓangaren yana rikodin asalin rubutun cryptographic, bambance-bambancen, da yanayin da ake amfani da shi, tare da kiran API da wuraren lambar inda aikin rubutun crypto ya faru, yana barin CBOM ya samar da shi ta hanyar da SBOM shine: daga nazarin tushen tushe na tsaye, dogaro yana bayyana, kuma, da yawa, nazarin binary don shari'o'in da tushen ba ya samuwa.

A aikace, samar da CBOM mai amfani ya dogara da irin wannan nazarin abubuwan da aka riga aka yi amfani da su don SBOM samarwa, wanda aka faɗaɗa don gane kiran ɗakin karatu na ɓoye bayanai, lambar sarrafa takardar shaida, da tsarin yarjejeniya, sannan aka haɗa su da raunin da aka sani (algorithms da suka ɓace, gajerun maɓallai, takaddun shaida da suka ƙare ko waɗanda za su ƙare nan ba da jimawa ba) don haka kayan sun zama wani abu da ƙungiya za ta iya aiki a kai maimakon jerin da ba su canzawa.

Abin da CBOM ba ya rufewa #

CBOM yana bayyana abin da aka gina a cikin lambar aikace-aikacen da abubuwan da suka dogara da shi. Ba ya kama tsarin aiki kamar jadawalin juyawa na maɓalli, amfani da module ɗin tsaro na kayan aiki, ko aiwatar da tsarin ɓoye bayanai na lokacin aiki akan sabar kai tsaye. Cikakken yanayin ɓoye bayanai yana haɗa CBOM tare da wannan mahallin aiki; CBOM shine kayan farawa, ba cikakken hoton ba.

Xygeni's ASPM dandamali yana haifar da CBOM tare da wani SBOM da kuma AI-BOM a matsayin wani ɓangare na tarin kadarorinta guda ɗaya, don haka haɗarin ɓoye bayanai yana cikin ra'ayi ɗaya da sauran yanayin tsaron aikace-aikacen ku.

FAQ #