Che cos'è un CBOM?

CBOM è l'acronimo di Cryptographic Bill of Materials (Distinta base crittografica). Si tratta di un inventario strutturato e leggibile da una macchina di ogni risorsa crittografica all'interno di un'applicazione o di un sistema: gli algoritmi, le dimensioni delle chiavi, i certificati, le librerie crittografiche e i protocolli in uso, insieme al modo in cui si relazionano ai componenti che li implementano. Dove un Distinta base del software (SBOM) Un CBOM risponde a una domanda più specifica e, per molte organizzazioni, più difficile: "dove è in esecuzione la crittografia e di che tipo esattamente".

CBOM significa, in parole semplici #

La maggior parte dei team di sicurezza è in grado di fornire un elenco ragionevolmente completo delle librerie open source da cui dipende il proprio software. Molti meno sanno rispondere alla domanda su dove RSA-2048 sia ancora in uso, quali servizi si basino su SHA-1 o cosa smetterebbe di funzionare se TLS 1.0 venisse disabilitato domani. È proprio questa lacuna che un CBOM colma. Non si tratta di un nuovo tipo di crittografia né di uno strumento di scansione fine a se stesso: è il risultato, una mappa documentata dell'utilizzo della crittografia in una codebase, in una build o nell'intera infrastruttura.

Un CBOM in genere registra:

• Algoritmi e loro parametriAlgoritmi di crittografia e firma, dimensioni delle chiavi, modalità di cifratura (ad esempio, segnalazione delle suite di cifratura RSA-1024 o solo CBC come obsolete)
• CertificatiCertificati X.509, i loro emittenti e la loro scadenza
• Chiavi e materiale crittografico: chiavi pubbliche, private e segrete, vettori di inizializzazione e materiale correlato
• Librerie e moduli crittografici: quale libreria implementa un determinato algoritmo e la sua versione
• protocolliTLS, IPsec e altri protocolli di sicurezza in uso, comprese le versioni obsolete ancora attive
• Relazioni: quale componente richiama quale libreria e quale protocollo si basa su quale algoritmo sottostante

CBOM vs SBOM: qual è la differenza #

An SBOM elenca i componenti software e le loro dipendenze. Un CBOM è più ristretto e profondo: prende la crittografia all'interno di quei componenti e la descrive in termini crittografici e SBOM Non è mai stato progettato per catturare. Un elenco di dipendenze può dirti che un'applicazione utilizza una particolare libreria TLS; non ti dirà quali suite di cifratura quella libreria è configurata per consentire, o se un certificato dietro di essa sta per scadere. In pratica, i due sono complementari. Le organizzazioni con un maturo SBOM La pratica ha un vantaggio iniziale su CBOM, perché lo stesso processo di scoperta che mappa i componenti può essere esteso per mappare la crittografia implementata da tali componenti.

Perché è importante adesso #

Tre pressioni distinte stanno spingendo l'inventario crittografico da un optional a un requisito documentato:

Crittografia post-quantistica (PQC) migrazione. Prima che un'organizzazione possa migrare dalla crittografia classica, ha bisogno di una mappa accurata di dove viene utilizzata. Un CBOM è quella mappa. Consente a un team di sicurezza di definire l'ambito di un progetto pilota PQC precisely (ad esempio, ogni servizio che utilizza un certificato rilasciato da una CA specifica su RSA-2048) e monitorare i progressi della migrazione nel tempo, anziché fare supposizioni sull'esposizione.

Agilità nel mondo delle criptovalute. Gli algoritmi obsoleti e le configurazioni deboli non si manifestano spontaneamente. Un CBOM (Computer-Based Monitoring) mette in evidenza l'utilizzo di SHA-1, la lunghezza ridotta delle chiavi o il fatto che TLS 1.0/1.1 sia ancora attivo, consentendo a un team di dare priorità a ciò che è effettivamente sfruttabile, invece di eseguire verifiche manuali sistema per sistema.

Slancio normativo. Il concetto si è evoluto da una buona pratica di sicurezza delle applicazioni a un requisito governativo esplicito. Il 22 giugno 2026, la Casa Bianca ha firmato l'Ordine Esecutivo 14412, "Proteggere la nazione dagli attacchi crittografici avanzati", che ha disposto CISA e NIST pubblicheranno gli elementi minimi per un CBOM entro 270 giorni, la prima volta che una distinta base crittografica è stata nominata come artefatto definito nella politica federale. La guida alla migrazione PQC del NIST raccomanda separatamente di abbinare un SBOM con un CBOM mentre le organizzazioni si preparano per algoritmi sicuri contro i computer quantistici.

Come viene generato un CBOM #

Il concetto è nato come estensione del CicloneDX SBOM standard, mantenuto sotto OWASP, che ha aggiunto un tipo di componente dedicato per le criptovalute in CycloneDX v1.6. Tale componente registra la primitiva crittografica, la variante e la modalità in uso, insieme alle chiamate API e alle posizioni del codice in cui si verifica l'operazione crittografica, consentendo la generazione di un CBOM nello stesso modo di un SBOM Si tratta di analisi statica del codice sorgente, dei manifesti delle dipendenze e, sempre più spesso, dell'analisi binaria nei casi in cui il codice sorgente non è disponibile.

In pratica, la generazione di un CBOM utilizzabile dipende dallo stesso tipo di analisi della composizione del software già utilizzata per SBOM generazione, estesa per riconoscere le chiamate alle librerie crittografiche, il codice di gestione dei certificati e la configurazione del protocollo, quindi correlata alle vulnerabilità note (algoritmi obsoleti, chiavi brevi, certificati scaduti o in scadenza) in modo che l'inventario diventi qualcosa su cui un team può agire anziché un elenco statico.

Cosa non copre un CBOM #

Un CBOM descrive ciò che è integrato nel codice e nelle dipendenze di un'applicazione. Di per sé, non include la configurazione operativa, come ad esempio i programmi di rotazione delle chiavi, l'utilizzo dei moduli di sicurezza hardware o l'applicazione delle suite di cifratura in fase di esecuzione su un server attivo. Una postura crittografica completa combina un CBOM con tale contesto operativo; il CBOM è l'inventario di partenza, non il quadro completo.

Quello di Xygeni ASPM la piattaforma genera un CBOM insieme a un SBOM e AI-BOM come parte del suo inventario unificato delle risorse, in modo che il rischio crittografico sia visualizzato insieme al resto della postura di sicurezza dell'applicazione.

FAQ #