Inona no atao hoe CBOM?

Ny CBOM dia fanafohezana ny Cryptographic Bill of Materials. Lisitra voarafitra sy azo vakian'ny milina momba ny fananana kriptografika rehetra ao anatin'ny fampiharana na rafitra iray izy io: ny algorithm, ny haben'ny lakile, ny mari-pankasitrahana, ny tranomboky kriptografika, ary ny protocole ampiasaina, miaraka amin'ny fomba ifandraisan'izy ireo amin'ireo singa mampihatra azy ireo. Raha misy Lisitra momba ny fitaovana rindrambaiko (SBOM) mamaly hoe "inona ny kaody ao anatin'ity fampiharana ity," ny CBOM dia mamaly fanontaniana tery kokoa ary, ho an'ny fikambanana maro, fanontaniana sarotra kokoa: "aiza no ampiasana ny cryptography, ary inona marina no karazany."

Ny dikan'ny CBOM, raha lazaina amin'ny teny tsotra #

Afaka mamokatra lisitra feno misy ireo tranomboky open-source izay ianteheran'ny rindrambaiko ampiasainy ny ankamaroan'ny ekipa fiarovana. Vitsy kokoa no afaka mamaly hoe aiza no mbola ampiasana ny RSA-2048, inona avy ireo serivisy miantehitra amin'ny SHA-1, na inona no ho tapaka raha toa ka tsy ampiasaina intsony ny TLS 1.0 rahampitso. Io banga io no voafehin'ny CBOM. Tsy karazana cryptography vaovao izy io ary tsy fitaovana scan irery: fa ny vokatra, sarintany voarakitra an-tsoratra momba ny fampiasana cryptography manerana ny codebase, ny fananganana, na ny estate iray manontolo.

Ny CBOM dia mazàna mirakitra:

• Algorithma sy ny masontsivana misy azy ireo: algorithma fanafenana sy sonia, haben'ny lakile, fomba fanafenana (ohatra, fanamarihana ny RSA-1024 na ny CBC-only cipher suites ho lany andro)
• taratasy fanamarinanaTaratasy fanamarinana X.509, ny mpamoaka azy ireo, ary ny fahataperan'ny fe-potoana
• Lakile sy fitaovana fanoratana miafina: fanalahidy ho an'ny daholobe, manokana, ary miafina, vecteur fanombohan-dresaka, ary fitaovana mifandraika amin'izany
• Tranomboky sy môdioly kriptografika: tranomboky iza no mampihatra algorithm iray, ary ny dikan-teniny
• protocolsTLS, IPsec, ary ireo protocole fiarovana hafa ampiasaina, anisan'izany ireo dikan-teny tsy ampiasaina intsony mbola miasa
• fifandraisana: singa inona no miantso ny tranomboky inona, ary ny protocole inona no miankina amin'ny algorithma eo ambaniny

CBOM vs. SBOMinona no mahasamihafa azy #

An SBOM mitanisa ireo singa ao amin'ny rindrambaiko sy ny zavatra ilainy. Teritery kokoa sy lalina kokoa ny CBOM: maka ny cryptography ao anatin'ireo singa ireo izy ary mamaritra izany amin'ny teny cryptography SBOM tsy natao hisambotra mihitsy. Ny lisitry ny fiankinan-doha dia afaka milaza aminao fa mampiasa tranomboky TLS manokana ny fampiharana iray; tsy hilaza aminao hoe inona ny suite cipher izay voamboatra hamelana an'io tranomboky io, na raha efa ho lany daty ny mari-pankasitrahana ao ambadik'izany. Raha ny marina, mifameno ireo roa ireo. Fikambanana manana matotra SBOM Manomboka amin'ny CBOM ny fomba fanao, satria ny dingana fikarohana izay mampiasa sarintany ireo singa ireo dia azo itarina mba hampiasa sarintany ny cryptography ampiharin'ireo singa ireo.

Nahoana no zava-dehibe izao #

Misy tsindry telo samihafa manosika ny lisitry ny angon-drakitra miafina avy amin'ny zavatra tsara ananana ho amin'ny fepetra takiana voarakitra an-tsoratra:

Post-quantum cryptography fifindra-monina (PQC). Alohan'ny ahafahan'ny fikambanana iray miala amin'ny kriptografia mahazatra, dia mila sarintany marina momba ny toerana ampiasana izany kriptografia izany izy. Ny CBOM dia io sarintany io. Mamela ny ekipa fiarovana handinika mialoha ny PQC izy io.cisely (ohatra, ny serivisy rehetra mampiasa taratasy fanamarinana navoakan'ny CA manokana amin'ny RSA-2048) ary manara-maso ny fandrosoan'ny fifindrana rehefa mandeha ny fotoana, fa tsy maminavina ny fiparitahana.

Fahaizana crypto. Tsy mampiseho ny tenany ireo algorithm tsy ampiasaina intsony sy ireo fikirakirana malemy. Ny CBOM surfaces dia mampiasa SHA-1, fohy ny halavan'ny fanalahidy, na mbola miasa ny TLS 1.0/1.1, mba hahafahan'ny ekipa mametraka laharam-pahamehana izay tena azo ampiasaina fa tsy mijery amin'ny tanana ny rafitra tsirairay.

Hetsika ara-dalàna. Niova avy amin'ny fomba fanao tsara indrindra amin'ny AppSec ho amin'ny fepetra takian'ny governemanta mazava tsara ny foto-kevitra. Tamin'ny 22 Jona 2026, ny Trano Fotsy dia nanao sonia ny Didim-panjakana 14412, "Fiarovana ny Firenena amin'ny Fanafihana Kriptografika Mandroso," izay nitarika CISA sy NIST hamoaka singa farany ambany indrindra ho an'ny CBOM ao anatin'ny 270 andro, sambany no nisy volavolan-dalàna momba ny fitaovana kriptografika nomena anarana ho toy ny artifact voafaritra ao amin'ny politika federaly. Ny torolàlana momba ny fifindra-monina PQC an'ny NIST dia manoro hevitra misaraka ny fampiarahana SBOM miaraka amin'ny CBOM rehefa miomana amin'ny algorithm azo antoka amin'ny fampiasana kuantum ireo fikambanana.

Ahoana no fomba famoronana CBOM #

Ny hevitra dia niandoha ho fanitarana ny CycloneDX SBOM standard, tazonina ao ambanin'ny OWASP, izay nanampy karazana singa crypto-asset natokana ao amin'ny CycloneDX v1.6. Io singa io dia mirakitra ny primitive cryptographic, variant, ary mode ampiasaina, miaraka amin'ny antso API sy ny toerana misy ny kaody izay misy ny asa cryptographic, mamela ny CBOM ho noforonina amin'ny fomba mitovy amin'ny SBOM dia: avy amin'ny fanadihadiana statika ny kaody loharano, miseho ny fiankinan-doha, ary, miha-mitombo hatrany, fanadihadiana binary ho an'ny tranga izay tsy misy ny loharano.

Amin'ny fampiharana, ny famoronana CBOM azo ampiasaina dia miankina amin'ny karazana fanadihadiana momba ny firafitry ny rindrambaiko izay efa nampiasaina. SBOM Ny famokarana, izay mivelatra mba hamantarana ireo antso an-tranonkala kriptografika, ny kaody fikirakirana mari-pankasitrahana, ary ny fikirakirana ny protokol, avy eo dia ampifandraisina amin'ny fahalemena fantatra (algorithm tsy ampiasaina intsony, fanalahidy fohy, mari-pankasitrahana efa lany daty na ho lany daty tsy ho ela) mba ho lasa zavatra azon'ny ekipa atao ny lisitra fa tsy lisitra statika intsony.

Izay tsy voarakotry ny CBOM #

Ny CBOM dia mamaritra izay tafiditra ao anatin'ny kaody sy ny fiankinan-dohan'ny fampiharana iray. Tsy maka sary ny firafitry ny asa toy ny fandaharam-potoana fihodinan'ny fanalahidy, ny fampiasana môdely fiarovana ny fitaovana, na ny fampiharana ny "runtime cipher suite" amin'ny mpizara mivantana izy. Ny fihetsika cryptographic feno dia mampifangaro ny CBOM amin'io toe-javatra miasa io; ny CBOM no lisitra fanombohana, fa tsy ny sary manontolo.

Xygeni's ASPM dia mamorona CBOM miaraka amin'ny SBOM ary ny AI-BOM ho anisan'ny lisitry ny fananana mitambatra, noho izany dia mitovy fijery amin'ny lafiny fiarovana ny fampiharanao ny risika amin'ny alalan'ny encryption.

FAQ #