OpenSSF专家对CISA的SBOM最低元素更新发表看法
💡
原文英文，约1900词，阅读约需7分钟。
📝
内容提要
政府更新的软件材料清单(SBOM)指导意见已发布，强调SBOM需更加清晰和详细。新草案增加了组件哈希和许可证等字段，以提升安全性。监管推动SBOM的普及，尤其受到欧盟网络韧性法案的影响。
🎯
关键要点
- 政府更新的软件材料清单(SBOM)指导意见已发布，强调SBOM需更加清晰和详细。
- 新草案增加了组件哈希、许可证、工具名称和生成上下文等字段，以提升安全性。
- SBOM的使用最初只要求联邦机构，现在也推广到软件供应商和其他组织。
- 组件哈希的加入有助于区分看似相同但构建方式不同的软件版本。
- 生成上下文的添加有助于了解SBOM生成的具体时间和情况。
- 62.4%的组织正在实施SBOM监控，78%计划在18个月内增加SBOM的使用。
- 欧盟网络韧性法案推动了SBOM的普及，要求进入欧洲市场的软件提供SBOM。
- OpenSSF正在讨论如何对新CISA最低元素草案进行评论，确保术语清晰定义。
- 版本管理在开源软件中存在复杂性，需要解决不同版本的定义问题。
- 多个国家正在制定类似的SBOM指导意见，面临对齐不同要求的挑战。
❓
延伸问答
SBOM的最新更新包含哪些新元素？
最新更新增加了组件哈希、许可证、工具名称和生成上下文等字段。
为什么SBOM的组件哈希重要？
组件哈希有助于区分看似相同但构建方式不同的软件版本。
SBOM的使用范围现在扩展到哪些组织？
SBOM的使用最初只要求联邦机构，现在也推广到软件供应商和其他组织。
欧盟网络韧性法案如何影响SBOM的普及？
欧盟网络韧性法案要求进入欧洲市场的软件提供SBOM，从而推动了SBOM的普及。
目前有多少组织在实施SBOM监控？
62.4%的组织正在实施SBOM监控。
OpenSSF在SBOM方面的主要工作是什么？
OpenSSF正在讨论如何对新CISA最低元素草案进行评论，以确保术语清晰定义。
➡️
