什么是CBOM？

CBOM 代表加密物料清单。 它是一份结构化的、机器可读的清单，列出了应用程序或系统中的所有加密资产：包括算法、密钥长度、证书、加密库和协议，以及它们与实现它们的组件之间的关系。 软件物料清单（SBOM) CBOM 回答的是“此应用程序中有哪些代码”，而对于许多组织来说，CBOM 回答的是一个更狭窄、更难的问题：“加密技术在哪里运行，以及究竟是哪种类型的加密技术。”

CBOM 的字面意思是 #

大多数安全团队都能提供一份相当完整的软件所依赖的开源库列表。但能回答哪些地方还在使用 RSA-2048、哪些服务依赖于 SHA-1，或者如果明天禁用 TLS 1.0 会导致哪些问题等问题的团队却寥寥无几。而 CBOM 正是为了弥补这一信息空白而存在的。它本身并非一种新型加密技术，也不是一个独立的扫描工具：它提供的是加密技术使用情况的文档化映射，涵盖了代码库、构建版本乃至整个系统。

CBOM通常记录：

• 算法及其参数加密和签名算法、密钥长度、密码模式（例如，将 RSA-1024 或仅 CBC 密码套件标记为过时）
• 科瑞证书X.509证书、其发行人和到期日
• 密钥和加密材料公钥、私钥和秘密密钥、初始化向量及相关材料
• 密码库和模块哪个库实现了给定的算法，以及它的版本
• 操作流程概述：正在使用的 TLS、IPsec 和其他安全协议，包括已弃用但仍处于活动状态的版本。
• 关系哪个组件调用了哪个库，哪个协议依赖于哪个底层算法？

CBOM 与 SBOM区别是什么？ #

An SBOM 列出软件组件及其依赖关系。CBOM 则更细致、更深入：它提取这些组件内部的加密技术，并用加密术语进行描述。 SBOM 它原本就不是用来捕获信息的。依赖项列表可以告诉你某个应用程序使用了哪个特定的 TLS 库；但它不会告诉你该库配置了哪些密码套件，也不会告诉你它背后的证书是否即将过期。实际上，这两者是互补的。拥有成熟 TLS 系统的组织 SBOM 实践者在 CBOM 方面领先一步，因为映射组件的相同发现过程可以扩展到映射这些组件实现的加密技术。

为什么现在很重要 #

三种不同的压力正推动加密资产清单从“锦上添花”变成“必须有文件记录的要求”：

后量子密码学 （PQC）迁移。 在组织摆脱传统密码学之前，需要一份精确的密码学使用情况地图。CBOM 正是这样一份地图。它能帮助安全团队确定 PQC 试点项目的范围。cisely（例如，每个使用由特定 CA 在 RSA-2048 上颁发的证书的服务）并跟踪迁移进度，而不是猜测暴露情况。

加密货币敏捷性。 已弃用的算法和不安全的配置不会自行暴露。CBOM 可以揭示 SHA-1 的使用情况、过短的密钥长度或仍然启用的 TLS 1.0/1.1 等问题，从而使团队能够优先处理真正存在安全漏洞的问题，而无需逐个系统地手动审计。

监管势头。 这一概念已从应用安全最佳实践转变为明确的政府要求。2026年6月22日，白宫签署了第14412号行政命令《保护国家免受高级密码攻击》，该命令指示…… CIS美国国家标准与技术研究院 (NIST) 将在 270 天内发布 CBOM 的最低要素，这是联邦政策中首次将密码学物料清单明确列为一项具体内容。NIST 自身的 PQC 迁移指南也单独建议将…… SBOM 借助 CBOM，各组织可以为量子安全算法做好准备。

CBOM是如何生成的 #

这一概念起源于对……的延伸 旋风DX SBOM standard受 OWASP 维护，CycloneDX v1.6 中添加了一种专用的加密资产组件类型。该组件记录所使用的加密原语、变体和模式，以及执行加密操作的 API 调用和代码位置，从而可以像其他组件一样生成 CBOM。 SBOM 是指：对源代码、依赖项清单进行静态分析，以及（越来越多地）在无法获取源代码的情况下进行二进制分析。

实际上，生成可用的CBOM依赖于与已用于其他用途的软件成分分析相同的分析方法。 SBOM 生成过程扩展为识别加密库调用、证书处理代码和协议配置，然后与已知的弱点（已弃用的算法、短密钥、已过期或即将过期的证书）进行关联，从而使清单成为团队可以采取行动的对象，而不是一个静态列表。

CBOM 不涵盖的内容 #

CBOM（代码库物料清单）描述了应用程序代码及其依赖项中内置的内容。它本身并不包含操作配置信息，例如密钥轮换计划、硬件安全模块的使用情况，或者在运行的服务器上强制执行运行时密码套件。完整的加密态势需要将 CBOM 与操作环境相结合；CBOM 只是初始清单，并非全部。

Xygeni 的 ASPM 平台生成 CBOM 以及 SBOM 并将 AI-BOM 作为其统一资产清单的一部分，因此加密风险与应用程序安全态势的其他部分处于同一视图中。

常见问题解答 #