面对量子计算对密码学的威胁以及日益增加的监管要求，密码治理正变得愈发关键。
IBM Research 开发并开源了 CBOMkit，旨在赋能开发者和开源社区，通过使用 CycloneDX 密码物料清单（CBOM）标准生成、可视化、分析和存储清单，主动管理其项目中的密码资产。这些能力将帮助开发者熟悉 CBOM，识别其代码和依赖项中的密码资产，并向用户提供其项目和应用程序的 CBOM。
实现密码治理
由于密码学保护我们的 IT 免受数据泄露和破坏，发现易受攻击的实例并进行修复至关重要。在量子计算威胁常见密码方法的当下，这一点尤为重要，因此必须将其替换为量子安全变体。
CycloneDX CBOM 标准最初由 IBM Research 发明，提供了一种机器可读的方式来记录和交换有关应用程序中密码资产存在情况的信息，从而实现自动化安全分析、合规检查和风险管理。为了简化 CBOM 的生成和管理并支持其采用，IBM Research 开发并开源了 CBOMkit 中的一套工具。通过提供这些工具，我们旨在鼓励并使开发者能够为其项目创建 CBOM，并支持采用 CBOM 以便更轻松地管理软件依赖项中的密码资产。
CBOMkit 工具
源代码 CBOM 生成器（CBOMkit Hyperion）：该工具扫描 Git 仓库中源代码的密码学调用，并生成包含发现的 CBOM。Hyperion 可识别 Java 和 Python 等支持语言中的密码学使用，涵盖 JCA 和 pyca/cryptography 等流行库。该工具生成的所有 CBOM 都存储在 CBOM 仓库中供后续使用。了解更多。
容器镜像 CBOM 生成器（CBOMkit Theia）：CBOMkit Theia 是一款强大的工具，用于检测和分析容器镜像和目录中的密码资产。它旨在通过扫描各种来源（包括本地目录和 Docker（容器化平台） 镜像）来生成 CBOM。了解更多。
CBOM 查看器（CBOMkit Coeus）：该独立 Web 服务可视化生成或上传的 CBOM。Coeus 提供项目密码组件的概览，并展示所用密码学的全面统计信息，为密码资产提供上下文。了解更多。
CBOM 合规引擎（CBOMkit Themis）：CBOMkit 可以根据指定策略评估 CBOM。当前实现包含内置的量子安全检查，但可以扩展以适应用户定义的合规标准。
CBOM 仓库（CBOMkit Mnemosyne）：该组件收集并存储 CBOM，由 RESTful API（应用程序编程接口） 管理。它支持跨项目和随时间推移高效维护和检索 CBOM 信息。
CBOMkit 功能
- 自动化：通过自动扫描代码仓库并生成 CBOM，CBOMkit 避免了在记录加密使用情况时容易出错的人工操作。
- 可观测性：CBOM 查看器提供清晰的可视化和统计数据，帮助团队快速了解其加密技术全景。
- 合规性：内置合规检查，并支持添加自定义规则，确保加密实现符合安全策略和最佳实践。
- 集成：借助其 API 和数据库，CBOMkit 可以轻松集成到现有的开发和安全工作流中。
- 可扩展性：模块化设计支持未来扩展，以支持更多语言、库和合规策略。
试用 CBOMkit
CBOMkit 提供了多个入口点，您可以用它们来熟悉 CBOM 并管理应用程序中的加密资产。
访问我们的 GitHub 页面开始使用并试用。例如，您可以对源代码运行 CBOM Generator 来生成 CBOM，或使用 CBOM 查看器检查结果（或现成的 CBOM）。
转载声明：本文为转载整理，原文版权归原作者及原站点所有。
原文来源：IBM Research Blog
原文作者：Nicklas Körtge, Gero Dittmann, Silvio Dragone；如有侵权，请联系管理员删除。
