SBOMit = SBOM + in-toto on SBOMit

常见问题解答

Mon, 01 Jan 0001 00:00:00 +0000

为什么我们需要精确的SBOMs？

2021年12月，当Log4Shell (CVE-2021-44228)爆发时，在不到72小时内，受影响的系统数量从4万激增至83万。 Log4j 作为传递依赖被深埋在代码中，大多数团队根本无从知晓是否在运行该组件，更遑论其具体位置。事件响应工作因此演变为一项涉及整个组织的排查工程。

Affected systems in the 72 hours following the Log4Shell outbreak.

Log4Shell 事件清楚地证明了软件资产清点（SBOMs）的重要性：如果你拥有软件中每个组件的完整、准确的清单，就能在几分钟内回答“我们是否受到影响？”这个问题。自那以后，软件资产清点已成为行政命令、采购要求和行业框架所强制要求的内容。现在的问题是，生成的 SBOMs 是否足够准确以供实际使用，而对于当今大多数组织而言，答案是否定的。当下一次 Log4Shell 漏洞出现时，您的 SBOM 能否解答这个问题？您是否信任它？

你的包管理器/清单无法识别什么？

超乎你的想象。我们分析了 Docker Hub 上排名前 1,000 的基于 Debian 的镜像，发现许多镜像中相当大比例的文件（有时高达 40% 至 100%）根本无法归因于任何软件包管理器。

Distribution of files unaccounted for by the package manager across the top 1,000 Debian-based Docker Hub images.

入门指南

Mon, 01 Jan 0001 00:00:00 +0000

本指南将逐步介绍如何配置 Witness 来对您的构建进行监控，然后使用 SBOMit 从生成的 attestation 文件中生成一个增强版的 SBOM 文件。

先决条件

Go 1.19 或更高版本
openssl
jq
base64（属于 GNU coreutils 的一部分）

第一部分：Witness

Witness 封装您的构建流程，并记录已签名的attestations，即加密审计日志。

1. 安装Witness

bash <(curl -s https://raw.githubusercontent.com/in-toto/witness/main/install-witness.sh)

或者从 Witness 发布页面下载二进制文件。

2. 创建签名密钥对

Witness 使用私钥对每个attestation进行签名。若要进行快速本地测试：

openssl genpkey -algorithm ed25519 -outform PEM -out testkey.pem
openssl pkey -in testkey.pem -pubout > testpub.pem

> 提示： Witness 还支持通过 SPIRE/SPIFFE 和 > Sigstore Fulcio 进行无密钥签名，适用于 CI/CD 环境。

3. 配置Witness

在项目根目录下创建一个名为 .Witness.yaml 的文件。该文件通常会与您的公钥一起提交：

社区

Mon, 01 Jan 0001 00:00:00 +0000

SBOMit 是一个在 OpenSSF 安全工具工作组框架下开发的开源社区项目。我们欢迎贡献者、用户以及任何希望提升软件供应链可信度的朋友参与。

会议

时间安排：每周三美国东部时间上午11:00 Zoom会议链接
会议纪要

认识维护者们！

维护者

加入我们的 Slack 频道吧！

点击页面底部的 Slack 图标
添加以下两个频道：#SBOMit 和 #sig-SBOM-everywhere

文档

Mon, 01 Jan 0001 00:00:00 +0000

SBOMit规范、工具及参考实现的相关文档将发布于此。

与此同时，权威来源是 SBOMit 规范库。

入门指南

内容即将发布。

规格

内容即将发布。

工装

内容即将发布。