Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
SBOMit
Для чего
SBOMit — спецификация и подход, которые привязывают SBOM к доказуемому процессу его создания. Идея: SBOM ценен только если можно проверить, что он действительно получен из заявленной сборки, а не дописан руками. SBOMit использует механику in-toto (layout с шагами и подписями), чтобы превратить генерацию SBOM в верифицируемую цепочку: какие инструменты, на каких входах и кем были запущены.
Как применяют
SBOMit описывает layout процесса (шаги сборки и генерации SBOM с ожидаемыми функционерами и материалами) и привязывает к нему подписанные свидетельства in-toto. Проверяющая сторона затем валидирует, что итоговый SBOM соответствует объявленному процессу:
шаг build -> материалы: исходники @sha256:...
шаг generate -> продукт: sbom.cdx.json (подписан ключом шага)
проверка layout: соответствие материалов/продуктов и подписей
То есть результат — не просто файл SBOM, а SBOM + доказательство, что он рождён именно этой сборкой.
Сильные стороны
- Связывает SBOM с верифицируемым процессом сборки, а не оставляет его «честным словом».
- Опирается на зрелую модель in-toto: подписанные шаги, материалы и продукты.
- Усложняет подмену или ретушь SBOM после факта — фальсификация ломает проверку layout.
- Хорошо ложится на требования к provenance и целостности цепочки поставки.
Ограничения
Provenance не равно полнота SBOMit доказывает, что SBOM рождён именно этой сборкой, но не то, что он полон и честен. Подписанный неполный SBOM остаётся неполным — доверие к происхождению не отменяет проверку качества (sbom-checker).
- Это спецификация/механика доверия, а не сам генератор: состав по-прежнему собирает Syft/cdxgen/Trivy.
- Provenance подтверждает происхождение, но не полноту: подписанный неполный SBOM остаётся неполным.
- Внедрение требует управления ключами и дисциплины подписи на каждом шаге — организационная нагрузка.
Offline / on-premise
Подпись и проверка layout выполняются офлайн локальными ключами; внешний центр доверия не обязателен. В закрытом контуре ключи и хранилище свидетельств держат внутри Организации, проверка идёт без выхода в сеть.
Связанные темы
М08 Защита цепочки поставки и OSA · М05 Инструменты генерации SBOM · П14. Подпись SBOM через Sigstore · П15. SLSA и in-toto provenance · in-toto · SLSA · Sigstore Cosign