CRA SBOM 與組件記錄
Sytance · 更新於
CRA 要求製造商在漏洞處理過程中掌握產品的組件信息。附件 I 要求製造商識別和記錄漏洞及組件，包括編制軟件物料清單（SBOM）。
附件 I 要求
識別並記錄含數字要素產品中的漏洞和組件，包括編制採用常用且機器可讀格式的軟件物料清單，至少覆蓋產品的頂層依賴項；
英文原文：
identify and document vulnerabilities and components contained in products with digital elements, including by drawing up a software bill of materials in a commonly used and machine-readable format covering at the very least the top-level dependencies of the products;歐盟條例 (EU) 2024/2847, 附件 I 第二部分第 1 項（中文為非官方譯文；英文為原文）
SBOM 屬於產品組件記錄，幫助製造商查明產品包含哪些軟件組件，以及哪些漏洞可能影響這些組件。
需要區分的對象
SBOM
機器可讀的軟件組件記錄。附件 I 要求至少覆蓋頂層依賴。
集成組件
製造商的成品漏洞處理義務可能涉及產品所含組件。
第三方組件
第 13 條要求製造商在集成第三方組件時開展盡職調查。
向主管機關提供 SBOM
按附件 VII，市場監管機關提出説明理由的請求，且核查附件 I 符合性需要 SBOM 時，製造商須提供相應清單。
示例：可追溯的組件記錄
以下虛構記錄描述控制器固件版本中的一個直接軟件依賴，用於説明工程上有用的信息。這些字段不是 CRA 另行規定的數據格式。
- 產品：控制器固件 1.2.0、發佈構建 120；清單依據發佈構建及其依賴數據生成。
- 組件：虛構 Example Components 項目提供的 example-parser 2.4.0，是固件的直接依賴。
- 標識與來源：軟件包標識、準確的源碼修訂號或供應商記錄，以及根據實際交付文件計算的摘要值。
- 使用方式：組件解析經認證維護接口上傳的配置文件；記錄相關構建選項和調用該組件的模塊。
- 證據：關聯機器可讀 SBOM，以及用於核對條目的構建或供應方記錄。組件變化後，仍保留舊版本的組件清單。
組件名稱和版本有助於發現候選漏洞。判斷產品是否受影響，還需要分析易受攻擊代碼是否包含在構建中、相關功能是否運行、攻擊者能接觸哪些輸入，以及已有控制。尚未查清的匹配應繼續調查，不能作為產品不受影響的證據。
“不受影響”結論應對應具體產品版本和漏洞，並附有技術理由及支持證據。構建選項、組件版本、接口或部署假設變化後，需要重新檢查。
與技術文檔的關係
附件 VII 要求在技術文檔中納入組件和 SBOM 信息，並説明漏洞處理流程、協調漏洞披露政策、報告聯繫地址和安全更新分發安排。
漏洞處理流程見 漏洞處理記錄 和 prEN 40000-1-3 漏洞處理。
格式狀態
附件 I 要求 SBOM 使用常見、機器可讀格式，並至少覆蓋頂層依賴。第 13 條第 24 款還允許歐盟委員會結合歐洲或國際標準及最佳實踐，通過實施法案規定其格式和內容。選擇格式時，需要區分法規正文的基本要求與適用實施法案的具體要求。
- PDF 組件清單不能滿足 SBOM 的機器可讀格式要求。
- SBOM 用於識別組件；漏洞處理還包括影響分析、修復和溝通。
- 附件 VII 規定了主管機關請求 SBOM 的條件，並未要求普遍公開 SBOM。