რა არის CBOM?

CBOM ნიშნავს მასალების კრიპტოგრაფიულ სიას. ეს არის აპლიკაციის ან სისტემის შიგნით არსებული ყველა კრიპტოგრაფიული აქტივის სტრუქტურირებული, მანქანით წასაკითხი ინვენტარი: ალგორითმები, გასაღების ზომები, სერტიფიკატები, კრიპტოგრაფიული ბიბლიოთეკები და გამოყენებული პროტოკოლები, ასევე ის, თუ როგორ უკავშირდებიან ისინი მათ განმახორციელებელ კომპონენტებს. პროგრამული უზრუნველყოფის მასალების ჩამონათვალი (SBOM) პასუხობს კითხვას „რა კოდია ამ აპლიკაციაში“, CBOM პასუხობს უფრო ვიწრო და, ბევრი ორგანიზაციისთვის, უფრო რთულ კითხვას: „სად მუშაობს კრიპტოგრაფია და ზუსტად რა სახის“.

CBOM-ის მნიშვნელობა, მარტივად რომ ვთქვათ #

უსაფრთხოების ჯგუფების უმეტესობას შეუძლია შექმნას იმ ღია კოდის ბიბლიოთეკების შედარებით სრული სია, რომლებზეც მათი პროგრამული უზრუნველყოფაა დამოკიდებული. გაცილებით ნაკლებს შეუძლია პასუხის გაცემა კითხვაზე, თუ სად გამოიყენება RSA-2048, რომელი სერვისებია დამოკიდებული SHA-1-ზე ან რა გაფუჭდება, თუ TLS 1.0 ხვალ გამორთული იქნება. სწორედ ამ ხარვეზს ავსებს CBOM. ეს არ არის კრიპტოგრაფიის ახალი სახეობა და არც სკანირების ინსტრუმენტი თავისთავად: ეს არის გამომავალი, კრიპტოგრაფიული გამოყენების დოკუმენტირებული რუკა კოდის ბაზაზე, ბილდზე ან მთელ კომპლექსში.

CBOM, როგორც წესი, აღრიცხავს:

• ალგორითმები და მათი პარამეტრები: დაშიფვრისა და ხელმოწერის ალგორითმები, გასაღების ზომები, შიფრის რეჟიმები (მაგალითად, RSA-1024 ან მხოლოდ CBC-ის შიფრის ნაკრებების მოძველებულად მონიშვნა)
• სერთიფიკატებიX.509 სერტიფიკატები, მათი გამცემი და ვადის გასვლის თარიღი
• გასაღებები და კრიპტოგრაფიული მასალა: საჯარო, კერძო და საიდუმლო გასაღებები, ინიციალიზაციის ვექტორები და მასთან დაკავშირებული მასალა
• კრიპტოგრაფიული ბიბლიოთეკები და მოდულებირომელი ბიბლიოთეკა ახორციელებს მოცემულ ალგორითმს და მისი ვერსია
• ოქმებიგამოიყენება TLS, IPsec და სხვა უსაფრთხოების პროტოკოლები, მათ შორის მოძველებული ვერსიები, რომლებიც ჯერ კიდევ აქტიურია.
• ურთიერთობებირომელი კომპონენტი იძახებს რომელ ბიბლიოთეკას და რომელი პროტოკოლი ეყრდნობა მის ქვეშ არსებულ რომელ ალგორითმს

CBOM vs. SBOM: რა განსხვავებაა #

An SBOM ჩამოთვლილია პროგრამული უზრუნველყოფის კომპონენტები და მათი დამოკიდებულებები. CBOM უფრო ვიწრო და ღრმაა: ის იღებს ამ კომპონენტების შიგნით არსებულ კრიპტოგრაფიას და აღწერს მას კრიპტოგრაფიული ტერმინებით და SBOM არასდროს ყოფილა შექმნილი მონაცემების აღსაწერად. დამოკიდებულებების სიას შეუძლია გითხრათ, რომ აპლიკაცია იყენებს კონკრეტულ TLS ბიბლიოთეკას; ის არ გეტყვით, რომელი შიფრების ნაკრებია კონფიგურირებული ამ ბიბლიოთეკის დასაშვებად, ან იწურება თუ არა მის უკან არსებული სერტიფიკატი. პრაქტიკულად, ეს ორი ერთმანეთს ავსებს. ორგანიზაციები, რომლებსაც აქვთ განვითარებული... SBOM პრაქტიკას CBOM-თან შედარებით უპირატესობა აქვს, რადგან იგივე აღმოჩენის პროცესი, რომელიც კომპონენტებს ასახავს, ​​შეიძლება გაფართოვდეს იმ კრიპტოგრაფიის აღწერისთვის, რომელსაც ეს კომპონენტები ახორციელებენ.

რატომ არის ეს მნიშვნელოვანი ახლა #

სამი განსხვავებული ზეწოლა ახდენს კრიპტოგრაფიული ინვენტარის „კარგი ქონიდან“ დოკუმენტირებული მოთხოვნის სტატუსის მიღებას:

პოსტ-კვანტური კრიპტოგრაფია (PQC) მიგრაცია. სანამ ორგანიზაცია კლასიკურ კრიპტოგრაფიიდან გადავა, მას სჭირდება ზუსტი რუკა, თუ სად გამოიყენება ეს კრიპტოგრაფია. CBOM არის ეს რუკა. ის საშუალებას აძლევს უსაფრთხოების გუნდს, შეისწავლოს PQC პილოტური წინასწარი ანალიზი.cisely (მაგალითად, ყველა სერვისი, რომელიც იყენებს RSA-2048-ზე კონკრეტული CA-ს მიერ გაცემულ სერტიფიკატს) და დროთა განმავლობაში მიგრაციის პროგრესის თვალყურის დევნება, ექსპოზიციის გამოცნობის ნაცვლად.

კრიპტო მოქნილობა. მოძველებული ალგორითმები და სუსტი კონფიგურაციები საკუთარ თავს არ ამჟღავნებენ. CBOM ავლენს SHA-1 გამოყენებას, მოკლე გასაღებების სიგრძეს ან TLS 1.0/1.1-ის კვლავ გააქტიურებას, რათა გუნდმა შეძლოს პრიორიტეტების მინიჭება, თუ რა არის ნამდვილად ექსპლუატაციადი, სისტემა-სისტემა ხელით აუდიტის ნაცვლად.

მარეგულირებელი იმპულსი. კონცეფცია AppSec-ის საუკეთესო პრაქტიკიდან მთავრობის აშკარა მოთხოვნად გადაიქცა. 2026 წლის 22 ივნისს თეთრმა სახლმა ხელი მოაწერა აღმასრულებელ ბრძანებას 14412, „ერის დაცვის შესახებ მოწინავე კრიპტოგრაფიული შეტევებისგან“, რომელიც CISA და NIST 270 დღის განმავლობაში გამოაქვეყნებენ CBOM-ის მინიმალურ ელემენტებს, რაც პირველი შემთხვევაა, როდესაც კრიპტოგრაფიული მასალების სია ფედერალურ პოლიტიკაში განსაზღვრულ არტეფაქტად არის დასახელებული. NIST-ის საკუთარი PQC მიგრაციის სახელმძღვანელო ცალკე რეკომენდაციას უწევს დაწყვილებას. SBOM CBOM-თან ერთად, როდესაც ორგანიზაციები კვანტური უსაფრთხოების ალგორითმებისთვის ემზადებიან.

როგორ წარმოიქმნება CBOM #

კონცეფცია წარმოიშვა, როგორც გაგრძელება CycloneDX SBOM standard, რომელიც შენარჩუნებულია OWASP-ის ფარგლებში, რომელმაც CycloneDX v1.6-ში დაამატა კრიპტოაქტივების კომპონენტის სპეციალური ტიპი. ეს კომპონენტი იწერს კრიპტოგრაფიულ პრიმიტივს, ვარიანტს და გამოყენებულ რეჟიმს, API გამოძახებებთან და კოდის მდებარეობებთან ერთად, სადაც კრიპტოგრაფიული ოპერაცია ხორციელდება, რაც საშუალებას იძლევა CBOM-ის გენერირება მოხდეს იმავე გზით. SBOM არის: საწყისი კოდის სტატიკური ანალიზიდან, დამოკიდებულების მანიფესტებიდან და, სულ უფრო ხშირად, ბინარული ანალიზიდან იმ შემთხვევებისთვის, როდესაც წყარო მიუწვდომელია.

პრაქტიკაში, გამოსაყენებელი CBOM-ის გენერირება დამოკიდებულია იმავე ტიპის პროგრამული უზრუნველყოფის შემადგენლობის ანალიზზე, რომელიც უკვე გამოიყენება. SBOM თაობა, რომელიც გაფართოვდა კრიპტოგრაფიული ბიბლიოთეკის გამოძახებების, სერტიფიკატების დამუშავების კოდისა და პროტოკოლის კონფიგურაციის ამოსაცნობად, შემდეგ კი კორელაციაში შევიდა ცნობილ სისუსტეებთან (მოძველებული ალგორითმები, მოკლე გასაღებები, ვადაგასული ან მალე ვადაგასული სერტიფიკატები), რათა ინვენტარი გახდეს ის, რაზეც გუნდს შეუძლია იმოქმედოს და არა სტატიკური სია.

რას არ მოიცავს CBOM #

CBOM აღწერს, თუ რა არის ჩაშენებული აპლიკაციის კოდსა და დამოკიდებულებებში. ის თავისთავად არ ასახავს ოპერაციულ კონფიგურაციას, როგორიცაა გასაღებების ბრუნვის გრაფიკები, აპარატურის უსაფრთხოების მოდულის გამოყენება ან გაშვების დროს შიფრების ნაკრების აღსრულება რეალურ სერვერზე. სრული კრიპტოგრაფიული პოზიცია აერთიანებს CBOM-ს ამ ოპერაციულ კონტექსტთან; CBOM არის საწყისი ინვენტარი და არა სრული სურათი.

ქსიგენი ASPM პლატფორმა აწარმოებს CBOM-ს ერთად SBOM და AI-BOM, როგორც მისი ერთიანი აქტივების ინვენტარის ნაწილი, ამიტომ კრიპტოგრაფიული რისკი თქვენი აპლიკაციის უსაფრთხოების მდგომარეობის დანარჩენ ნაწილთან ერთად ერთ ხედვაში დევს.

კითხვა-პასუხი #