CBOM คืออะไร?

CBOM ย่อมาจาก Cryptographic Bill of Materials (รายการวัสดุสำหรับการเข้ารหัส) เป็นรายการสินทรัพย์ทางด้านการเข้ารหัสทั้งหมดภายในแอปพลิเคชันหรือระบบที่มีโครงสร้างและสามารถอ่านได้ด้วยเครื่องจักร ได้แก่ อัลกอริทึม ขนาดคีย์ ใบรับรอง ไลบรารีการเข้ารหัส และโปรโตคอลที่ใช้ รวมถึงความสัมพันธ์ระหว่างสินทรัพย์เหล่านั้นกับส่วนประกอบที่นำไปใช้งาน รายการส่วนประกอบซอฟต์แวร์ (SBOM) ในขณะที่ CBOM ตอบคำถามที่แคบกว่า และสำหรับหลายองค์กรแล้วเป็นคำถามที่ยากกว่า นั่นคือ “การเข้ารหัสทำงานอยู่ที่ไหน และเป็นการเข้ารหัสแบบใดกันแน่”

ความหมายของ CBOM ในภาษาที่เข้าใจง่าย #

ทีมรักษาความปลอดภัยส่วนใหญ่สามารถจัดทำรายการไลบรารีโอเพนซอร์สที่ซอฟต์แวร์ของตนใช้งานได้อย่างครบถ้วน แต่มีน้อยทีมที่จะตอบได้ว่า RSA-2048 ยังคงใช้งานอยู่ที่ใด บริการใดบ้างที่พึ่งพา SHA-1 หรืออะไรจะเสียหายหาก TLS 1.0 ถูกปิดใช้งานในวันพรุ่งนี้ ช่องว่างนี้เองที่ CBOM เข้ามาเติมเต็ม มันไม่ใช่การเข้ารหัสรูปแบบใหม่ และไม่ใช่เครื่องมือสแกนในตัวมันเอง: แต่มันคือผลลัพธ์ แผนที่การใช้งานการเข้ารหัสที่บันทึกไว้ทั่วทั้งโค้ดเบส บิลด์ หรือระบบทั้งหมด

โดยทั่วไป CBOM จะบันทึกข้อมูลดังต่อไปนี้:

• อัลกอริทึมและพารามิเตอร์ของอัลกอริทึม: อัลกอริทึมการเข้ารหัสและการลงลายมือชื่อ ขนาดของคีย์ โหมดการเข้ารหัส (ตัวอย่างเช่น การระบุว่าชุดการเข้ารหัส RSA-1024 หรือ CBC เท่านั้น ล้าสมัยแล้ว)
• ใบรับรองใบรับรอง X.509 ผู้ออกใบรับรอง และวันหมดอายุ
• กุญแจและวัสดุการเข้ารหัส: กุญแจสาธารณะ กุญแจส่วนตัว และกุญแจลับ เวกเตอร์เริ่มต้น และวัสดุที่เกี่ยวข้อง
• ไลบรารีและโมดูลการเข้ารหัส: ไลบรารีใดที่ใช้งานอัลกอริทึมที่กำหนด และเป็นเวอร์ชันใด
• โปรโตคอล: โปรโตคอลความปลอดภัยต่างๆ เช่น TLS, IPsec และอื่นๆ ที่ใช้งานอยู่ รวมถึงเวอร์ชันที่เลิกใช้งานแล้วแต่ยังทำงานอยู่
• ความสัมพันธ์: ส่วนประกอบใดเรียกใช้ไลบรารีใด และโปรโตคอลใดอาศัยอัลกอริทึมใดอยู่เบื้องหลัง

CBOM เทียบกับ SBOM: ต่างกันอย่างไร #

An SBOM CBOM แสดงรายการส่วนประกอบซอฟต์แวร์และความสัมพันธ์ระหว่างกัน ส่วน CBOM นั้นแคบกว่าและลึกกว่า โดยจะนำเอาการเข้ารหัสภายในส่วนประกอบเหล่านั้นมาอธิบายในแง่ของการเข้ารหัส SBOM ไม่ได้ออกแบบมาเพื่อบันทึกข้อมูลตั้งแต่แรก รายการการพึ่งพา (dependency list) สามารถบอกคุณได้ว่าแอปพลิเคชันใช้ไลบรารี TLS เฉพาะตัวใด แต่จะไม่บอกคุณว่าไลบรารีนั้นถูกกำหนดค่าให้ยอมรับชุดการเข้ารหัสใด หรือใบรับรองที่อยู่เบื้องหลังกำลังจะหมดอายุหรือไม่ ในทางปฏิบัติแล้ว ทั้งสองอย่างนั้นเสริมซึ่งกันและกัน องค์กรที่มีระบบที่พัฒนาแล้ว SBOM การปฏิบัติจริงมีข้อได้เปรียบเหนือ CBOM เนื่องจากกระบวนการค้นหาแบบเดียวกันที่ใช้ในการระบุส่วนประกอบต่างๆ สามารถขยายไปใช้ในการระบุวิธีการเข้ารหัสที่ส่วนประกอบเหล่านั้นใช้ได้

ทำไมมันถึงสำคัญตอนนี้ #

มีปัจจัยสามประการที่ผลักดันให้การจัดทำรายการข้อมูลการเข้ารหัสลับเปลี่ยนจากสิ่งที่ควรมีไปเป็นข้อกำหนดที่ต้องบันทึกไว้:

การเข้ารหัสหลังควอนตัม การย้ายข้อมูล (PQC) ก่อนที่องค์กรจะสามารถเปลี่ยนไปใช้การเข้ารหัสแบบอื่นได้ จำเป็นต้องมีแผนที่ที่แม่นยำว่าการเข้ารหัสแบบนั้นถูกใช้ที่ใดบ้าง CBOM คือแผนที่นั้น มันช่วยให้ทีมรักษาความปลอดภัยสามารถกำหนดขอบเขตโครงการนำร่อง PQC ได้cisely (ตัวอย่างเช่น บริการทุกบริการที่ใช้ใบรับรองที่ออกโดย CA เฉพาะบน RSA-2048) และติดตามความคืบหน้าของการย้ายระบบเมื่อเวลาผ่านไป แทนที่จะคาดเดาถึงความเสี่ยง

ความคล่องตัวด้านคริปโตเคอร์เรนซี อัลกอริทึมที่ล้าสมัยและการกำหนดค่าที่ไม่แข็งแรงจะไม่แสดงให้เห็นชัดเจน แต่ CBOM จะแสดงการใช้งาน SHA-1 ความยาวคีย์สั้น หรือ TLS 1.0/1.1 ที่ยังคงเปิดใช้งานอยู่ ทำให้ทีมสามารถจัดลำดับความสำคัญของสิ่งที่สามารถถูกโจมตีได้อย่างแท้จริง แทนที่จะตรวจสอบระบบทีละระบบด้วยตนเอง

แรงผลักดันด้านกฎระเบียบ แนวคิดนี้ได้เปลี่ยนจากแนวปฏิบัติที่ดีที่สุดด้านความปลอดภัยของแอปพลิเคชัน (AppSec) ไปสู่ข้อกำหนดของรัฐบาลอย่างชัดเจน เมื่อวันที่ 22 มิถุนายน 2026 ทำเนียบขาวได้ลงนามในคำสั่งบริหารหมายเลข 14412 เรื่อง “การรักษาความปลอดภัยของประเทศจากการโจมตีทางด้านการเข้ารหัสขั้นสูง” ซึ่งกำหนดแนวทางให้รัฐบาลดำเนินการดังกล่าว CISA และ NIST จะเผยแพร่ส่วนประกอบขั้นต่ำสำหรับ CBOM ภายใน 270 วัน ซึ่งเป็นครั้งแรกที่รายการส่วนประกอบทางด้านการเข้ารหัสได้รับการระบุว่าเป็นสิ่งประดิษฐ์ที่กำหนดไว้ในนโยบายของรัฐบาลกลาง แนวทางการย้ายข้อมูล PQC ของ NIST เองก็แนะนำแยกต่างหากให้จับคู่กับ SBOM โดยใช้ CBOM เป็นแนวทางในการเตรียมความพร้อมขององค์กรต่างๆ สำหรับอัลกอริธึมที่ปลอดภัยจากควอนตัม

วิธีการสร้าง CBOM #

แนวคิดนี้เริ่มต้นจากการต่อยอดจาก ไซโคลนDX SBOM standardซึ่งได้รับการดูแลโดย OWASP ซึ่งได้เพิ่มประเภทส่วนประกอบสินทรัพย์เข้ารหัสเฉพาะใน CycloneDX เวอร์ชัน 1.6 ส่วนประกอบนั้นจะบันทึกรูปแบบการเข้ารหัส รูปแบบย่อย และโหมดที่ใช้ พร้อมกับการเรียกใช้ API และตำแหน่งโค้ดที่เกิดการดำเนินการเข้ารหัส ทำให้สามารถสร้าง CBOM ได้ในลักษณะเดียวกับ SBOM คือ: การวิเคราะห์แบบคงที่จากซอร์สโค้ด รายการความสัมพันธ์ของส่วนประกอบ และที่สำคัญยิ่งขึ้นคือการวิเคราะห์ไบนารีในกรณีที่ไม่มีซอร์สโค้ด

ในทางปฏิบัติ การสร้าง CBOM ที่ใช้งานได้นั้นขึ้นอยู่กับการวิเคราะห์องค์ประกอบซอฟต์แวร์แบบเดียวกับที่ใช้ไปแล้วสำหรับ SBOM สร้างรายการที่ครอบคลุมมากขึ้นเพื่อรับรู้การเรียกใช้ไลบรารีการเข้ารหัสลับ โค้ดการจัดการใบรับรอง และการกำหนดค่าโปรโตคอล จากนั้นจึงนำไปเปรียบเทียบกับจุดอ่อนที่ทราบ (อัลกอริทึมที่ล้าสมัย คีย์สั้น ใบรับรองที่หมดอายุหรือใกล้หมดอายุ) เพื่อให้รายการดังกล่าวเป็นสิ่งที่ทีมสามารถนำไปใช้ได้จริง แทนที่จะเป็นเพียงรายการคงที่

สิ่งที่ CBOM ไม่ครอบคลุม #

CBOM อธิบายถึงสิ่งที่ถูกสร้างขึ้นในโค้ดและส่วนประกอบต่างๆ ของแอปพลิเคชัน แต่ไม่ได้ครอบคลุมถึงการกำหนดค่าการทำงาน เช่น ตารางการหมุนเวียนคีย์ การใช้งานโมดูลความปลอดภัยของฮาร์ดแวร์ หรือการบังคับใช้ชุดการเข้ารหัสแบบเรียลไทม์บนเซิร์ฟเวอร์ที่ใช้งานจริง ท่าทีการเข้ารหัสที่สมบูรณ์นั้นต้องรวม CBOM เข้ากับบริบทการทำงานเหล่านั้น CBOM เป็นเพียงรายการเริ่มต้น ไม่ใช่ภาพรวมทั้งหมด

ของไซเกนี ASPM แพลตฟอร์มสร้าง CBOM ควบคู่ไปกับ SBOM และ AI-BOM เป็นส่วนหนึ่งของรายการสินทรัพย์แบบครบวงจร ดังนั้นความเสี่ยงด้านการเข้ารหัสจึงอยู่ในมุมมองเดียวกับมาตรการรักษาความปลอดภัยอื่นๆ ของแอปพลิเคชันของคุณ

คำถามที่พบบ่อย #