SBOMit = SBOM + in-toto on SBOMit

Communauté

Mon, 01 Jan 0001 00:00:00 +0000

SBOMit est un projet communautaire ouvert développé dans le cadre du groupe de travail « Security Tooling » de l’OpenSSF. Nous invitons les contributeurs, les utilisateurs et toute personne intéressée par l’amélioration de la fiabilité des chaînes d’approvisionnement logicielles à nous rejoindre.

Réunions

Horaires : tous les mercredis à 11 h, heure de la côte Est des États-Unis Lien vers la réunion Zoom
Compte-rendu de la réunion

Découvrez les responsables de la maintenance !

Responsables

Rejoignez notre canal Slack !

Cliquez sur l’icône Slack en bas de la page
Ajoutez ces deux canaux : #SBOMit et #sig-SBOM-everywhere

Documentation

Mon, 01 Jan 0001 00:00:00 +0000

La documentation relative à la spécification «SBOMit», aux outils et aux implémentations de référence sera disponible ici.

En attendant, la source faisant autorité est le référentiel des spécifications de SBOMit.

Pour commencer

Contenu à venir.

Spécifications

Contenu à venir.

Outillage

Contenu à venir.

FAQ

Mon, 01 Jan 0001 00:00:00 +0000

Pourquoi avons-nous besoin d’SBOMss précises ?

Lorsque la faille Log4Shell (CVE-2021-44228) a été découverte en décembre 2021, le nombre de systèmes exposés est passé de 40 000 à 830 000 en moins de 72 heures. Log4j était enfoui en tant que dépendance transitive, et la plupart des équipes n’avaient aucun moyen de savoir si elles l’utilisaient ni où. La gestion des incidents s’est transformée en un véritable projet d’exploration à l’échelle de l’organisation.

Pour commencer

Mon, 01 Jan 0001 00:00:00 +0000

Ce guide vous explique comment configurer Witness pour instrumenter votre build, puis comment utiliser SBOMit pour générer un fichier SBOM enrichi à partir du fichier attestation obtenu.

Conditions préalables

Go version 1.19 ou ultérieure
openssl
jq
base64 (faisant partie de GNU coreutils)

Partie 1 : Witness

Witness encapsule votre processus de compilation et enregistre l’attestations signée, qui constitue une piste d’audit cryptographique.

1. Installer « Witness »

bash <(curl -s https://raw.githubusercontent.com/in-toto/witness/main/install-witness.sh)

Ou téléchargez un fichier binaire depuis la page des versions de Witness.