CBOM là gì?

CBOM là viết tắt của Cryptographic Bill of Materials (Danh mục vật liệu mật mã). Đây là một bản kê khai có cấu trúc, có thể đọc được bằng máy, về mọi tài sản mật mã bên trong một ứng dụng hoặc hệ thống: các thuật toán, kích thước khóa, chứng chỉ, thư viện mật mã và giao thức đang được sử dụng, cùng với cách chúng liên quan đến các thành phần thực hiện chúng. Trong trường hợp này, Danh mục vật liệu phần mềm (SBOM) CBOM trả lời câu hỏi “mã nguồn nào có trong ứng dụng này?”, còn CBOM trả lời một câu hỏi hẹp hơn và khó hơn đối với nhiều tổ chức: “mật mã đang chạy ở đâu và chính xác là loại nào?”

Ý nghĩa của CBOM, nói một cách đơn giản #

Hầu hết các nhóm bảo mật có thể lập một danh sách tương đối đầy đủ các thư viện mã nguồn mở mà phần mềm của họ phụ thuộc vào. Tuy nhiên, rất ít nhóm có thể trả lời được câu hỏi RSA-2048 vẫn còn được sử dụng ở đâu, dịch vụ nào dựa vào SHA-1, hoặc điều gì sẽ xảy ra nếu TLS 1.0 bị vô hiệu hóa vào ngày mai. CBOM (Computer-Based Management - Quản lý tài liệu dựa trên mã nguồn) sẽ lấp đầy khoảng trống đó. Nó không phải là một loại mật mã mới và cũng không phải là một công cụ quét độc lập: nó là kết quả đầu ra, một bản đồ được ghi chép về việc sử dụng mật mã trên toàn bộ mã nguồn, bản dựng hoặc toàn bộ hệ thống.

CBOM thường ghi lại:

• Các thuật toán và tham số của chúng: các thuật toán mã hóa và chữ ký, kích thước khóa, chế độ mã hóa (ví dụ: đánh dấu các bộ mã hóa RSA-1024 hoặc CBC-only là lỗi thời)
• Giấy chứng nhận: Chứng chỉ X.509, tổ chức phát hành và thời hạn hết hạn
• Khóa và vật liệu mật mã: các khóa công khai, riêng tư và bí mật, vectơ khởi tạo và các tài liệu liên quan
• Thư viện và mô-đun mật mã: thư viện nào triển khai thuật toán đã cho và phiên bản của nó
• giao thức: Các giao thức bảo mật TLS, IPsec và các giao thức khác đang được sử dụng, bao gồm cả các phiên bản đã lỗi thời nhưng vẫn còn hoạt động.
• Mối quan hệ: Thành phần nào gọi thư viện nào, và giao thức nào dựa trên thuật toán nào bên dưới nó

CBOM so với SBOM: Sự khác biệt là gì #

An SBOM Liệt kê các thành phần phần mềm và sự phụ thuộc của chúng. CBOM thì hẹp hơn và sâu hơn: nó lấy mật mã bên trong các thành phần đó và mô tả nó bằng các thuật ngữ mật mã. SBOM Danh sách phụ thuộc không được thiết kế để thu thập thông tin đó. Danh sách phụ thuộc có thể cho bạn biết một ứng dụng sử dụng một thư viện TLS cụ thể; nó sẽ không cho bạn biết thư viện đó được cấu hình để cho phép những bộ mã hóa nào, hoặc liệu chứng chỉ đằng sau nó sắp hết hạn hay không. Về mặt thực tế, hai điều này bổ sung cho nhau. Các tổ chức có một hệ thống TLS trưởng thành SBOM Các phương pháp thực hành có lợi thế hơn trong CBOM, bởi vì quy trình khám phá tương tự dùng để lập bản đồ các thành phần có thể được mở rộng để lập bản đồ mật mã mà các thành phần đó triển khai.

Tại sao điều đó quan trọng bây giờ #

Ba áp lực riêng biệt đang đẩy việc lập danh mục tài liệu mật mã từ một yếu tố "nên có" trở thành một yêu cầu bắt buộc được ghi nhận:

Mật mã hậu lượng tử (PQC) di cư. Trước khi một tổ chức có thể chuyển đổi khỏi mật mã học cổ điển, họ cần một bản đồ chính xác về nơi mật mã học đó được sử dụng. CBOM chính là bản đồ đó. Nó cho phép nhóm bảo mật xác định phạm vi của dự án thí điểm PQC.cisely (ví dụ: mọi dịch vụ đều sử dụng chứng chỉ do một CA cụ thể cấp trên RSA-2048) và theo dõi tiến trình chuyển đổi theo thời gian, thay vì phỏng đoán về mức độ rủi ro.

Khả năng thích ứng với mã hóa tiền điện tử. Các thuật toán lỗi thời và cấu hình yếu thường không tự báo hiệu. CBOM sẽ phát hiện việc sử dụng SHA-1, độ dài khóa ngắn hoặc TLS 1.0/1.1 vẫn được bật, giúp nhóm có thể ưu tiên những lỗ hổng thực sự dễ bị khai thác thay vì phải kiểm tra thủ công từng hệ thống một.

Động lực điều chỉnh pháp lý. Khái niệm này đã chuyển từ một thực tiễn tốt nhất về bảo mật ứng dụng sang một yêu cầu rõ ràng của chính phủ. Vào ngày 22 tháng 6 năm 2026, Nhà Trắng đã ký Sắc lệnh hành pháp 14412, “Bảo vệ quốc gia chống lại các cuộc tấn công mã hóa tiên tiến”, chỉ đạo… CISA và NIST sẽ công bố các yếu tố tối thiểu cho CBOM trong vòng 270 ngày, đây là lần đầu tiên danh sách vật liệu mật mã được định nghĩa là một hiện vật trong chính sách liên bang. Hướng dẫn chuyển đổi PQC của NIST cũng khuyến nghị riêng việc ghép nối một SBOM với CBOM khi các tổ chức chuẩn bị cho các thuật toán an toàn lượng tử.

Quy trình tạo CBOM #

Khái niệm này bắt nguồn từ sự mở rộng của... Lốc xoáyDX SBOM standardĐược duy trì theo tiêu chuẩn OWASP, tiêu chuẩn này đã bổ sung một loại thành phần tài sản mã hóa chuyên dụng trong CycloneDX v1.6. Thành phần này ghi lại thuật toán mã hóa cơ bản, biến thể và chế độ đang được sử dụng, cùng với các lệnh gọi API và vị trí mã nơi diễn ra hoạt động mã hóa, cho phép tạo CBOM theo cùng một cách như một... SBOM Nó bao gồm: phân tích tĩnh mã nguồn, bảng kê khai phụ thuộc, và ngày càng phổ biến hơn là phân tích nhị phân trong trường hợp không có mã nguồn.

Trên thực tế, việc tạo ra một CBOM hữu ích phụ thuộc vào cùng loại phân tích thành phần phần mềm đã được sử dụng cho SBOM Quá trình này được mở rộng để nhận diện các lệnh gọi thư viện mật mã, mã xử lý chứng chỉ và cấu hình giao thức, sau đó được đối chiếu với các điểm yếu đã biết (các thuật toán lỗi thời, khóa ngắn, chứng chỉ đã hết hạn hoặc sắp hết hạn) để danh sách trở thành một thứ mà nhóm có thể dựa vào để hành động thay vì chỉ là một danh sách tĩnh.

Những gì CBOM không bao gồm #

CBOM mô tả những gì được tích hợp trong mã nguồn và các thành phần phụ thuộc của ứng dụng. Bản thân nó không thể bao quát cấu hình vận hành như lịch xoay vòng khóa, việc sử dụng mô-đun bảo mật phần cứng hoặc việc thực thi bộ mã hóa trong thời gian chạy trên máy chủ đang hoạt động. Một tư thế mật mã hoàn chỉnh kết hợp CBOM với bối cảnh vận hành đó; CBOM là danh mục ban đầu, chứ không phải toàn bộ bức tranh.

Xygeni's ASPM nền tảng tạo ra CBOM cùng với SBOM và AI-BOM như một phần của kho tài sản thống nhất, do đó rủi ro mật mã được xem xét cùng với phần còn lại của tư thế bảo mật ứng dụng của bạn.

FAQ #