SBOMit = SBOM + in-toto on SBOMit

Comunidad

Mon, 01 Jan 0001 00:00:00 +0000

SBOMit es un proyecto comunitario abierto desarrollado en el marco del Grupo de Trabajo sobre Herramientas de Seguridad de la OpenSSF. Damos la bienvenida a colaboradores, usuarios y a cualquier persona interesada en mejorar la fiabilidad de las cadenas de suministro de software.

Reuniones

Horario: Todos los miércoles a las 11:00 h, hora del Este de EE. UU. Enlace a la reunión de Zoom
Notas de la reunión

¡Conoce a los responsables del mantenimiento!

Responsables

¡Únete a nuestro Slack!

Haz clic en el icono de Slack que aparece en la parte inferior de la página
Añade estos dos canales: #SBOMit y #sig-SBOM-everywhere

Documentación

Mon, 01 Jan 0001 00:00:00 +0000

Aquí se publicará la documentación sobre la especificación «SBOMit», las herramientas y las implementaciones de referencia.

Mientras tanto, la fuente oficial es el repositorio de especificaciones de SBOMit.

Primeros pasos

El contenido estará disponible próximamente.

Especificaciones

El contenido estará disponible próximamente.

Herramientas

El contenido estará disponible próximamente.

Preguntas frecuentes

Mon, 01 Jan 0001 00:00:00 +0000

¿Por qué necesitamos un «SBOMs» preciso?

Cuando Log4Shell (CVE-2021-44228) se dio a conocer en diciembre de 2021, el número de sistemas expuestos se disparó de 40 000 a 830 000 en menos de 72 horas. Log4j estaba oculto como una dependencia transitiva, y la mayoría de los equipos no tenían forma de saber si lo estaban ejecutando ni dónde. La respuesta ante el incidente se convirtió en un proyecto de búsqueda a escala de toda la organización.

Primeros pasos

Mon, 01 Jan 0001 00:00:00 +0000

Esta guía explica paso a paso cómo configurar Witness para instrumentar tu compilación y, a continuación, cómo utilizar SBOMit para generar un SBOM enriquecido a partir del attestation resultante.

Requisitos previos

Go 1.19 o posterior
openssl
jq
base64 (parte de GNU coreutils)

Parte 1: Witness

Witness envuelve tu proceso de compilación y registra los archivos «attestations» firmados, un registro de auditoría criptográfica.

1. Instalar «Witness»

bash <(curl -s https://raw.githubusercontent.com/in-toto/witness/main/install-witness.sh)

O bien, descarga un archivo binario desde la página de versiones de Witness.