Bil deunyddiau meddalwedd
Cyhoeddwch SBOM CycloneDX fesul rhyddhad ac mae'r gofrestr yn gwneud y gweddill. Caiff cydrannau eu dad-ddyblygu ar draws yr ystâd, eu cysylltu â'r hyn a ddefnyddir, eu sganio yn erbyn porthiannau cynghori a'u cadw fel tystiolaeth y gallwch ei chyflwyno i asesydd.
Pum cam. Peidiodd offer cynharach â bod yn ddefnyddiol pan wnaethant hepgor un ohonynt.
Chwiliwch yn ôl enw neu union URL pecyn i gael pob rhyddhad sy'n cynnwys y gydran, ynghyd â'r amgylcheddau y mae pob rhyddhad wedi'i ddefnyddio ynddynt ar hyn o bryd. Rydych chi'n agor y sgrin hon pan gyhoeddir cyngor diogelwch.
Lawrlwythwch yr union ddogfen a gyhoeddwyd gan eich adeiladiad, gyda'i chrynodeb, neu olwg wedi'i hailgynhyrchu sydd wedi'i labelu felly. Pan fydd rheoleiddiwr yn gofyn i chi anfon yr hyn a gyflenwyd gennych, gallwch anfon yr arteffact ei hun.
Un ddogfen CycloneDX sy'n cwmpasu pob cydran a ddefnyddir ar hyn o bryd ar draws yr ystâd, neu gynhyrchu yn unig. Mae'n ateb "beth ydych chi'n ei redeg" gydag un ffeil.
Dyfarniadau fesul dynodwr SPDX ynghyd â rhesymeg a hepgoriadau y gellir eu priodoli, cwmpas wedi'i nodi fel canran, a rhybudd pan fydd trwydded waharddedig yn cyrraedd rhyddhad sydd wedi'i ddefnyddio.
CycloneDX, fersiynau 1.2 hyd at 1.6, fel JSON. Gwrthodir unrhyw beth arall gyda neges sy'n enwi'r fersiynau a gefnogir. Ni dderbynnir SPDX heddiw. Os yw eich cynhyrchydd yn allbynnu SPDX, troswch hi neu allbynnwch CycloneDX, y gall y rhan fwyaf o offer modern ei wneud. Cedwir y ddogfen a gyhoeddwch air am air a'i dychwelyd yn union beit-am-feit, felly eich ffeil eich hun a gewch yn ôl.
Nid yw provenance yn cynhyrchu SBOMau. Mae'n eu hamlyncu o beth bynnag a'u cynhyrchodd, megis sgan lefel iaith o'ch coeden ffynhonnell neu sgan delwedd o gynhwysydd a adeiladwyd. Os yw eich piblinell eisoes yn allyrru CycloneDX ar gyfer delwedd cynhwysydd, caiff y ddelwedd honno ei thrin fel rhyddhad, ac mae ei chydrannau'n cael eu dad-ddyblygu yn ôl purl gyda phob dim arall. Gan fod y gofrestr yn cymryd y ddogfen o'ch adeiladiad, mae'n cynnwys yr hyn a gyflenwyd gennych mewn gwirionedd.
Mae diogelwch cadwyn gyflenwi meddalwedd yn cwmpasu cywirdeb adeiladu, arwyddo arteffactau, tystiadau provenance a'r rhestr eiddo o'r hyn rydych chi'n dibynnu arno. Mae provenance yn cwmpasu'r rhestr eiddo a'r cwestiynau amlygiad sy'n dilyn ohoni. Nid yw'n arwyddo arteffactau, yn gwirio provenance adeiladu yn yr ystyr SLSA nac yn rheoli llif gwaith piblinell. Mae offer eraill wedi'u creu ar gyfer y gweithredoedd hynny.
Mae pob cydran yn cario'r trwyddedau a ddatganwyd gan ei SBOM, wedi'u dad-ddyblygu ar draws yr ystâd, fel y gallwch wirio ag un chwiliad a yw unrhyw beth a gyflenwir gennych yn defnyddio AGPL. Mae gan bob trwydded ddyfarniad o ganiateir, adolygu neu waharddedig. Dangosir trwydded waharddedig mewn rhyddhad sydd wedi'i ddefnyddio ar wahân i'r un drwydded mewn rhyddhad nad oes neb yn ei redeg. Caiff cydrannau nad ydynt yn datgan unrhyw drwydded eu cyfrif a'u henwi, ac ni thybir byth eu bod yn ganiatadol.
Mae CVE o bwys i chi dim ond os ydych yn cyflenwi'r gydran yr effeithir arni, ac mae'n fater brys dim ond os yw'r rhyddhad hwnnw wedi'i ddefnyddio. Cofnodir canfyddiadau fesul ymddangosiad cydran a'u graddio yn y modd hwnnw, felly trefnir y rhestr yn ôl amlygiad go iawn.
Mae pob un o'r rhain ar y map ffordd, ac nid oes unrhyw dudalen arall ar y safle hwn yn awgrymu bod unrhyw un ohonynt ar gael heddiw.
CycloneDX JSON, wedi'i bostio fel y ddogfen amrwd yn erbyn rhyddhad. Mae amlyncu SPDX ar y map ffordd, ond ni allwch gyflwyno dogfen SPDX heddiw.
Yn ôl URL pecyn (purl), sy'n enwi'r ecosystem, y pecyn a'r fersiwn yn ddi-amwys. Caiff cydrannau eu dad-ddyblygu yn ôl purl ar draws yr ystâd gyfan. Mae deg ar hugain o gynhyrchion sy'n rhannu delwedd sylfaenol yn rhoi un rhes gyda deg ar hugain o ymddangosiadau. Dyna pam mae "pwy sy'n cyflenwi hwn" yn un chwiliad yn lle sgan drwy bob SBOM sydd gennych.
Y ddau, ac mae pob un wedi'i labelu. Cedwir yr union beitiau a gyhoeddwyd gennych gyda'u crynodeb SHA-256 a'u cyflwyno'n ôl fel y gwreiddiol a dystiwyd. Mae ail ffurf wedi'i hailgynhyrchu yn dangos yr hyn y mae'r gofrestr yn ei ddal ar gyfer y rhyddhad ar hyn o bryd, ac mae ei metadata yn nodi iddi gael ei hailgynhyrchu. Os na chadwyd y gwreiddiol erioed, mae'r allforiad yn gwrthod yn hytrach na dychwelyd y fersiwn a ailgynhyrchwyd.
Nid yw'n dangos unrhyw ganfyddiadau, ac mae'r rhyngwyneb yn ei nodi fel anhysbys yn hytrach na glân. Ni all rhyddhad heb SBOM gynhyrchu canfyddiadau, ac nid yw hynny'n ei wneud yn ddiogel.
Ddim eto. Caiff safbwyntiau VEX eu hysgrifennu yn y platfform, lle cofnodir yr awdur ac mae angen i ail berson gymeradwyo ataliad ar ganfyddiad critigol. Mae mewnforio CycloneDX VEX neu OpenVEX gan gyflenwr ar y map ffordd.
Rhestrir pob trwydded a ddatganir gan gydran yn yr ystâd ynghyd â'i dyfarniad a gofnodwyd (caniateir, adolygu neu waharddedig), rhesymeg a hepgoriad y gellir ei briodoli. Adroddir am drwydded heb ddyfarniad fel un heb ei hadolygu ac ni chaiff byth ei thrin fel un a ganiateir.
Mae angen allwedd â chwmpas penodol ac un POST fesul rhyddhad arnoch. Mae'r gofrestr yn gwneud y gweddill. Mae'r API wedi'i ddogfennu ar gyfer pobl ac ar gyfer asiantau yn /llms.txt.