എന്താണ് ഒരു CBOM?

ക്രിപ്‌റ്റോഗ്രാഫിക് ബിൽ ഓഫ് മെറ്റീരിയൽസിനെ സൂചിപ്പിക്കുന്നു CBOM. ഒരു ആപ്ലിക്കേഷനിലോ സിസ്റ്റത്തിലോ ഉള്ള ഓരോ ക്രിപ്‌റ്റോഗ്രാഫിക് അസറ്റിന്റെയും ഘടനാപരമായ, മെഷീൻ-റീഡബിൾ ഇൻവെന്ററിയാണിത്: അൽഗോരിതങ്ങൾ, കീ വലുപ്പങ്ങൾ, സർട്ടിഫിക്കറ്റുകൾ, ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറികൾ, ഉപയോഗത്തിലുള്ള പ്രോട്ടോക്കോളുകൾ, അവ നടപ്പിലാക്കുന്ന ഘടകങ്ങളുമായി അവ എങ്ങനെ ബന്ധപ്പെട്ടിരിക്കുന്നു എന്നതിനൊപ്പം. എവിടെ a സോഫ്റ്റ്‌വെയർ ബിൽ ഓഫ് മെറ്റീരിയൽസ് (SBOM) "ഈ ആപ്ലിക്കേഷനിൽ എന്ത് കോഡാണ് ഉള്ളത്" എന്ന് ഉത്തരം നൽകുന്ന ഒരു CBOM, പല സ്ഥാപനങ്ങൾക്കും കൂടുതൽ സങ്കീർണ്ണവും കൂടുതൽ കൃത്യമായതുമായ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: "ക്രിപ്റ്റോഗ്രഫി എവിടെയാണ് പ്രവർത്തിക്കുന്നത്, കൃത്യമായി ഏത് തരം."

CBOM എന്നതിന്റെ അർത്ഥം, ലളിതമായി പറഞ്ഞാൽ #

മിക്ക സുരക്ഷാ ടീമുകൾക്കും അവരുടെ സോഫ്റ്റ്‌വെയർ ആശ്രയിക്കുന്ന ഓപ്പൺ സോഴ്‌സ് ലൈബ്രറികളുടെ ന്യായമായ പൂർണ്ണമായ ഒരു ലിസ്റ്റ് നിർമ്മിക്കാൻ കഴിയും. RSA-2048 ഇപ്പോഴും എവിടെയാണ് ഉപയോഗത്തിലുള്ളത്, ഏതൊക്കെ സേവനങ്ങൾ SHA-1-നെ ആശ്രയിക്കുന്നു, അല്ലെങ്കിൽ നാളെ TLS 1.0 പ്രവർത്തനരഹിതമാക്കിയാൽ എന്ത് തകരും എന്ന് വളരെ കുറച്ച് പേർക്ക് മാത്രമേ ഉത്തരം നൽകാൻ കഴിയൂ. ആ വിടവാണ് ഒരു CBOM അടയ്ക്കുന്നത്. ഇത് ഒരു പുതിയ തരം ക്രിപ്‌റ്റോഗ്രഫിയല്ല, ഒരു സ്‌കാനിംഗ് ഉപകരണവുമല്ല: ഇത് ഒരു കോഡ്‌ബേസ്, ഒരു ബിൽഡ് അല്ലെങ്കിൽ ഒരു മുഴുവൻ എസ്റ്റേറ്റിലുടനീളമുള്ള ക്രിപ്‌റ്റോഗ്രാഫിക് ഉപയോഗത്തിന്റെ ഒരു ഡോക്യുമെന്റഡ് മാപ്പ്, ഔട്ട്‌പുട്ട് ആണ്.

ഒരു CBOM സാധാരണയായി രേഖപ്പെടുത്തുന്നത്:

• അൽഗോരിതങ്ങളും അവയുടെ പാരാമീറ്ററുകളും: എൻക്രിപ്ഷൻ, സിഗ്നേച്ചർ അൽഗോരിതങ്ങൾ, കീ വലുപ്പങ്ങൾ, സൈഫർ മോഡുകൾ (ഉദാഹരണത്തിന്, RSA-1024 അല്ലെങ്കിൽ CBC-മാത്രം സൈഫർ സ്യൂട്ടുകളെ കാലഹരണപ്പെട്ടതായി ഫ്ലാഗ് ചെയ്യുന്നു)
• സർട്ടിഫിക്കറ്റുകൾ: X.509 സർട്ടിഫിക്കറ്റുകൾ, അവ നൽകുന്നവർ, കാലഹരണപ്പെടൽ എന്നിവ
• കീകളും ക്രിപ്റ്റോഗ്രാഫിക് മെറ്റീരിയലും: പൊതു, സ്വകാര്യ, രഹസ്യ കീകൾ, ഇനിഷ്യലൈസേഷൻ വെക്റ്ററുകൾ, അനുബന്ധ മെറ്റീരിയൽ
• ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറികളും മൊഡ്യൂളുകളും: നൽകിയിരിക്കുന്ന അൽഗോരിതം നടപ്പിലാക്കുന്ന ലൈബ്രറി ഏതാണ്, അതിന്റെ പതിപ്പ്
• പ്രോട്ടോകോളുകൾ: TLS, IPsec, ഉപയോഗത്തിലുള്ള മറ്റ് സുരക്ഷാ പ്രോട്ടോക്കോളുകൾ, ഒഴിവാക്കിയ പതിപ്പുകൾ ഉൾപ്പെടെ ഇപ്പോഴും സജീവമാണ്.
• ബന്ധം: ഏത് ഘടകം ഏത് ലൈബ്രറിയെയാണ് വിളിക്കുന്നത്, ഏത് പ്രോട്ടോക്കോൾ അതിന് കീഴിലുള്ള ഏത് അൽഗോരിതത്തെ ആശ്രയിച്ചിരിക്കുന്നു

CBOM vs SBOM: എന്താണ് വ്യത്യാസം? #

An SBOM സോഫ്റ്റ്‌വെയർ ഘടകങ്ങളെയും അവയുടെ ആശ്രിതത്വങ്ങളെയും പട്ടികപ്പെടുത്തുന്നു. ഒരു CBOM കൂടുതൽ ഇടുങ്ങിയതും ആഴമേറിയതുമാണ്: അത് ആ ഘടകങ്ങൾക്കുള്ളിലെ ക്രിപ്‌റ്റോഗ്രഫി എടുത്ത് ക്രിപ്‌റ്റോഗ്രാഫിക് പദങ്ങളിൽ വിവരിക്കുന്നു. SBOM ക്യാപ്‌ചർ ചെയ്യാൻ ഒരിക്കലും രൂപകൽപ്പന ചെയ്‌തിട്ടില്ല. ഒരു ആശ്രിതത്വ പട്ടികയ്ക്ക് ഒരു ആപ്ലിക്കേഷൻ ഒരു പ്രത്യേക TLS ലൈബ്രറി ഉപയോഗിക്കുന്നുവെന്ന് നിങ്ങളോട് പറയാൻ കഴിയും; ലൈബ്രറി ഏത് സൈഫർ സ്യൂട്ടുകളാണ് അനുവദിക്കാൻ കോൺഫിഗർ ചെയ്‌തിരിക്കുന്നതെന്നോ അതിന് പിന്നിലുള്ള ഒരു സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെടാൻ പോകുകയാണോ എന്നോ അത് നിങ്ങളോട് പറയില്ല. പ്രായോഗികമായി, രണ്ടും പരസ്പര പൂരകമാണ്. പക്വതയുള്ള ഒരു സ്ഥാപനങ്ങളുള്ള SBOM ഘടകങ്ങൾ മാപ്പ് ചെയ്യുന്ന അതേ കണ്ടെത്തൽ പ്രക്രിയ തന്നെ ആ ഘടകങ്ങൾ നടപ്പിലാക്കുന്ന ക്രിപ്റ്റോഗ്രഫി മാപ്പ് ചെയ്യുന്നതിനും വ്യാപിപ്പിക്കാൻ കഴിയുമെന്നതിനാൽ, CBOM-ൽ പ്രാക്ടീസുകൾക്ക് ഒരു തുടക്കം കുറിക്കാൻ കഴിയും.

ഇപ്പോൾ ഇത് പ്രധാനമായിരിക്കുന്നത് എന്തുകൊണ്ട്? #

മൂന്ന് വ്യത്യസ്ത സമ്മർദ്ദങ്ങൾ ക്രിപ്‌റ്റോഗ്രാഫിക് ഇൻവെന്ററിയെ നല്ലതിൽ നിന്ന് ഒരു ഡോക്യുമെന്റഡ് ആവശ്യകതയിലേക്ക് തള്ളിവിടുന്നു:

പോസ്റ്റ്-ക്വാണ്ടം ക്രിപ്റ്റോഗ്രഫി (PQC) മൈഗ്രേഷൻ. ഒരു സ്ഥാപനത്തിന് ക്ലാസിക്കൽ ക്രിപ്‌റ്റോഗ്രഫിയിൽ നിന്ന് മാറാൻ കഴിയുന്നതിന് മുമ്പ്, ആ ക്രിപ്‌റ്റോഗ്രഫി എവിടെയാണ് ഉപയോഗിക്കുന്നതെന്ന് കൃത്യമായി മനസ്സിലാക്കേണ്ട ഒരു മാപ്പ് ആവശ്യമാണ്. ഒരു CBOM ആണ് ആ മാപ്പ്. ഒരു സുരക്ഷാ ടീമിന് ഒരു PQC പൈലറ്റ് പ്രീ-സ്‌കോപ്പ് ചെയ്യാൻ ഇത് അനുവദിക്കുന്നു.cisely (ഉദാഹരണത്തിന്, RSA-2048-ൽ ഒരു നിർദ്ദിഷ്ട CA നൽകുന്ന സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്ന ഓരോ സേവനവും) എക്സ്പോഷർ ഊഹിക്കുന്നതിനുപകരം, കാലക്രമേണ മൈഗ്രേഷൻ പുരോഗതി ട്രാക്ക് ചെയ്യുക.

ക്രിപ്‌റ്റോ അജിലിറ്റി. ഒഴിവാക്കിയ അൽഗോരിതങ്ങളും ദുർബലമായ കോൺഫിഗറേഷനുകളും സ്വയം പ്രഖ്യാപിക്കുന്നില്ല. ഒരു CBOM SHA-1 ഉപയോഗം, ചെറിയ കീ ദൈർഘ്യം, അല്ലെങ്കിൽ TLS 1.0/1.1 ഇപ്പോഴും പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു, അതിനാൽ ഒരു ടീമിന് സിസ്റ്റം അനുസരിച്ച് സ്വമേധയാ ഓഡിറ്റ് ചെയ്യുന്നതിന് പകരം യഥാർത്ഥത്തിൽ ചൂഷണം ചെയ്യാവുന്നവയ്ക്ക് മുൻഗണന നൽകാൻ കഴിയും.

റെഗുലേറ്ററി ആക്കം. ആപ്പ്സെക്കിന്റെ മികച്ച രീതി എന്നതിൽ നിന്ന് വ്യക്തമായ ഒരു സർക്കാർ ആവശ്യകതയിലേക്ക് ഈ ആശയം മാറിയിരിക്കുന്നു. 2026 ജൂൺ 22-ന്, വൈറ്റ് ഹൗസ് "നൂതന ക്രിപ്‌റ്റോഗ്രാഫിക് ആക്രമണങ്ങൾക്കെതിരെ രാഷ്ട്രത്തെ സുരക്ഷിതമാക്കൽ" എന്ന എക്‌സിക്യൂട്ടീവ് ഓർഡർ 14412-ൽ ഒപ്പുവച്ചു, അത് CISഫെഡറൽ നയത്തിൽ ഒരു ക്രിപ്‌റ്റോഗ്രാഫിക് ബിൽ ഓഫ് മെറ്റീരിയൽസിനെ നിർവചിക്കപ്പെട്ട ഒരു ആർട്ടിഫാക്റ്റായി നാമകരണം ചെയ്യുന്നത് ഇതാദ്യമായാണ്, ഒരു CBOM-നുള്ള ഏറ്റവും കുറഞ്ഞ ഘടകങ്ങൾ A ഉം NIST ഉം 270 ദിവസത്തിനുള്ളിൽ പ്രസിദ്ധീകരിക്കേണ്ടത്. NIST-യുടെ സ്വന്തം PQC മൈഗ്രേഷൻ മാർഗ്ഗനിർദ്ദേശം പ്രത്യേകം ജോടിയാക്കാൻ ശുപാർശ ചെയ്യുന്നു SBOM ക്വാണ്ടം-സേഫ് അൽഗോരിതങ്ങൾക്കായി ഓർഗനൈസേഷനുകൾ തയ്യാറെടുക്കുമ്പോൾ ഒരു CBOM ഉപയോഗിച്ച്.

ഒരു CBOM എങ്ങനെ സൃഷ്ടിക്കപ്പെടുന്നു #

എന്നതിന്റെ ഒരു വിപുലീകരണമായാണ് ഈ ആശയം ഉത്ഭവിച്ചത് CycloneDX SBOM standard, OWASP പ്രകാരം പരിപാലിക്കപ്പെടുന്നു, ഇത് CycloneDX v1.6-ൽ ഒരു സമർപ്പിത ക്രിപ്‌റ്റോ-അസറ്റ് ഘടക തരം ചേർത്തു. ആ ഘടകം ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രൈമിറ്റീവ്, വേരിയന്റ്, ഉപയോഗത്തിലുള്ള മോഡ് എന്നിവ രേഖപ്പെടുത്തുന്നു, കൂടാതെ ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രവർത്തനം നടക്കുന്ന API കോളുകളും കോഡ് ലൊക്കേഷനുകളും, ഒരു CBOM-നെ അതേ രീതിയിൽ ജനറേറ്റ് ചെയ്യാൻ അനുവദിക്കുന്നു. SBOM ഇതാണ്: സോഴ്‌സ് കോഡിന്റെ സ്റ്റാറ്റിക് വിശകലനത്തിൽ നിന്ന്, ആശ്രിതത്വം പ്രകടമാകുന്നു, കൂടാതെ, ഉറവിടം ലഭ്യമല്ലാത്ത സന്ദർഭങ്ങളിൽ ബൈനറി വിശകലനവും വർദ്ധിക്കുന്നു.

പ്രായോഗികമായി, ഉപയോഗിക്കാവുന്ന ഒരു CBOM സൃഷ്ടിക്കുന്നത്, ഇതിനകം ഉപയോഗിച്ചിരുന്ന അതേ തരത്തിലുള്ള സോഫ്റ്റ്‌വെയർ കോമ്പോസിഷൻ വിശകലനത്തെ ആശ്രയിച്ചിരിക്കുന്നു. SBOM ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറി കോളുകൾ, സർട്ടിഫിക്കറ്റ് കൈകാര്യം ചെയ്യൽ കോഡ്, പ്രോട്ടോക്കോൾ കോൺഫിഗറേഷൻ എന്നിവ തിരിച്ചറിയുന്നതിനായി വിപുലീകരിച്ച ജനറേഷൻ, തുടർന്ന് അറിയപ്പെടുന്ന ബലഹീനതകളുമായി (ഒഴിവാക്കിയ അൽഗോരിതങ്ങൾ, ഷോർട്ട് കീകൾ, കാലഹരണപ്പെട്ടതോ ഉടൻ കാലഹരണപ്പെടുന്നതോ ആയ സർട്ടിഫിക്കറ്റുകൾ) പരസ്പരബന്ധിതമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, അതിനാൽ ഇൻവെന്ററി ഒരു സ്റ്റാറ്റിക് ലിസ്റ്റിനേക്കാൾ ഒരു ടീമിന് പ്രവർത്തിക്കാൻ കഴിയുന്ന ഒന്നായി മാറുന്നു.

ഒരു CBOM എന്തൊക്കെയാണ് ഉൾക്കൊള്ളാത്തത് #

ഒരു ആപ്ലിക്കേഷന്റെ കോഡിലും ഡിപൻഡൻസികളിലും എന്താണ് ഉൾപ്പെടുത്തിയിരിക്കുന്നതെന്ന് ഒരു CBOM വിവരിക്കുന്നു. കീ റൊട്ടേഷൻ ഷെഡ്യൂളുകൾ, ഹാർഡ്‌വെയർ സുരക്ഷാ മൊഡ്യൂൾ ഉപയോഗം, അല്ലെങ്കിൽ ഒരു ലൈവ് സെർവറിലെ റൺടൈം സൈഫർ സ്യൂട്ട് എൻഫോഴ്‌സ്‌മെന്റ് തുടങ്ങിയ പ്രവർത്തന കോൺഫിഗറേഷൻ ഇത് സ്വയം പിടിച്ചെടുക്കുന്നില്ല. ഒരു പൂർണ്ണമായ ക്രിപ്‌റ്റോഗ്രാഫിക് പോസ്ചർ ഒരു CBOM-നെ ആ പ്രവർത്തന സന്ദർഭവുമായി സംയോജിപ്പിക്കുന്നു; CBOM എന്നത് ആരംഭ ഇൻവെന്ററിയാണ്, മുഴുവൻ ചിത്രവുമല്ല.

സൈജെനിസ് ASPM പ്ലാറ്റ്ഫോം ഒരു CBOM-നോടൊപ്പം സൃഷ്ടിക്കുന്നു SBOM കൂടാതെ AI-BOM ഉം അതിന്റെ ഏകീകൃത അസറ്റ് ഇൻവെന്ററിയുടെ ഭാഗമായി ഉപയോഗിക്കുന്നു, അതിനാൽ ക്രിപ്‌റ്റോഗ്രാഫിക് റിസ്‌ക് നിങ്ങളുടെ ആപ്ലിക്കേഷൻ സുരക്ഷാ നിലപാടിന്റെ അതേ വീക്ഷണത്തിലാണ്.

പതിവുചോദ്യങ്ങൾ #