SBOM i rejestry komponentów CRA
Sytance · Zaktualizowano
CRA uwzględnia wiedzę o komponentach w ramach obsługi podatności. Załącznik I wymaga od producentów identyfikowania i dokumentowania podatności oraz komponentów, w tym sporządzania zestawienia materiałów oprogramowania.
Wymóg załącznika I
identyfikować i dokumentować podatności i komponenty zawarte w produktach z elementami cyfrowymi, w tym sporządzać zestawienie materiałów oprogramowania w powszechnie stosowanym i czytelnym maszynowo formacie, obejmujące co najmniej zależności najwyższego poziomu produktu;
Rozporządzenie (UE) 2024/2847, załącznik I część II pkt 1
SBOM jest częścią szerszego rejestru komponentów. Pomaga producentowi ustalić, które komponenty zawiera produkt i jakie podatności mogą na nie wpływać.
Co należy rozróżnić
SBOM
Czytelny maszynowo rejestr komponentów oprogramowania. Załącznik I wymaga uwzględnienia co najmniej zależności najwyższego poziomu.
Zintegrowany komponent
Komponent zawarty w produkcie może powodować obowiązki dotyczące obsługi podatności w gotowym produkcie.
Komponent strony trzeciej
Artykuł 13 wymaga dochowania należytej staranności podczas integrowania komponentów stron trzecich z produktem.
Dostęp organów
Załącznik VII przewiduje dostęp do SBOM na uzasadniony wniosek, gdy jest on potrzebny do sprawdzenia zgodności z załącznikiem I.
Przykład: identyfikowalny rejestr komponentu
Poniższy fikcyjny rejestr opisuje bezpośrednią zależność programową w wydaniu oprogramowania układowego sterownika. Pokazuje przydatne informacje inżynierskie; wymienione pola nie stanowią dodatkowego schematu wymaganego przez CRA.
- Produkt: oprogramowanie układowe sterownika 1.2.0, kompilacja wydania 120; wykaz utworzono na podstawie wydanej kompilacji i danych o jej zależnościach.
- Komponent: example-parser 2.4.0, dostarczony przez fikcyjny projekt Example Components; bezpośrednia zależność oprogramowania układowego.
- Tożsamość i pochodzenie: identyfikator pakietu, dokładna rewizja źródła lub odwołanie do dostawcy oraz rzeczywisty skrót dostarczonego artefaktu.
- Zastosowanie: komponent analizuje plik konfiguracyjny przesłany przez uwierzytelniony interfejs utrzymaniowy. Zapisz odpowiednie opcje kompilacji i wywołujący komponent.
- Dowody: dołącz odnośnik do czytelnego maszynowo SBOM oraz rekordów kompilacji lub dostawcy użytych do weryfikacji wpisu. Po zmianie komponentu zachowaj wykaz z wcześniejszego wydania.
Nazwa i wersja komponentu mogą pomóc w wyszukiwaniu potencjalnych podatności. Ustalenie, czy podatność dotyczy produktu, wymaga dalszej analizy: czy podatny kod jest dołączony, czy uruchamia się podatna funkcja, do jakiego wejścia ma dostęp atakujący i jakie zabezpieczenia mają znaczenie. Nierozstrzygnięte dopasowanie pozostaje w trakcie badania; nie dowodzi, że produkt nie jest podatny.
Stwierdzenie „problem nie dotyczy produktu” powinno wskazywać wersję produktu, podatność, uzasadnienie techniczne i dowody. Należy je ponownie sprawdzić po zmianie opcji kompilacji, wersji komponentu, interfejsu lub założenia dotyczącego wdrożenia.
Powiązanie z dokumentacją techniczną
Załącznik VII umieszcza informacje o komponentach i SBOM w dokumentacji technicznej. Wymaga również informacji o procesie obsługi podatności, polityce skoordynowanego ujawniania, kontaktowym adresie zgłoszeń i bezpiecznej dystrybucji aktualizacji.
Część dotycząca procesu została wyjaśniona w Rejestry obsługi podatności oraz prEN 40000-1-3 Obsługa podatności.
Status formatu
Załącznik I wymaga powszechnie stosowanego, czytelnego maszynowo SBOM obejmującego co najmniej zależności najwyższego poziomu. Artykuł 13 ust. 24 zezwala również Komisji określić jego format i elementy w akcie wykonawczym, z uwzględnieniem norm europejskich lub międzynarodowych i najlepszych praktyk. Dlatego przy wyborze formatu trzeba odróżniać podstawowy wymóg rozporządzenia od ewentualnych mających zastosowanie wymagań wykonawczych.
- Lista komponentów w pliku PDF nie spełnia wymogu dotyczącego czytelnego maszynowo formatu SBOM.
- SBOM identyfikuje komponenty; obsługa podatności wymaga również analizy wpływu, działań naprawczych i komunikacji.
- Załącznik VII przewiduje dostęp organu do SBOM na jego wniosek; nie ustanawia ogólnego obowiązku publikacji SBOM.