IBM 研究中心推出 CBOMkit 以增强加密管理

为了应对密码学面临的新的量子威胁和日益增长的监管压力，IBM 研究中心推出了名为 CBOMkit 的新工具集。据 IBM Research 称，这一开源计划旨在帮助开发人员利用 CycloneDX 加密材料清单 (CBOM) 标准更有效地管理加密资产。

启用密码学治理

密码学是防止数据泄露和破坏的重要手段。然而，量子计算的出现对传统加密方法提出了重大挑战，需要转向量子安全替代方案。 CycloneDX CBOM 标准最初由 IBM Research 开发，提供了一种机器可读的格式，用于记录和交换加密资产信息，从而促进自动化安全分析和合规性检查。

IBM Research 的 CBOMkit 旨在简化 CBOM 的创建和管理，鼓励开发人员广泛采用。通过提供这些工具，IBM 致力于简化软件依赖项内加密资产的管理，从而打造更安全的开发环境。

CBOMkit 工具

CBOMkit 套件包括几个关键组件：

• CBOM 源代码生成器 (CBOMkit Hyperion)： 该工具扫描 Git 存储库以检测源代码中的加密调用，并使用其发现生成 CBOM。它支持 Java 和 Python 等语言，涵盖 JCA 和 pyca/cryptography 等流行库。
• 容器镜像的 CBOM 生成器 (CBOMkit Theia)： Theia 旨在分析容器镜像和目录中的加密资产，通过扫描本地目录和 Docker 镜像等源来生成 CBOM。
• CBOM 查看器（CBOMkit Coeus）： 一种 Web 服务，可可视化生成或上传的 CBOM，提供项目内加密组件的概述和详细统计信息。
• CBOM 合规引擎 (CBOMkit Themis)： 该组件根据预定义的策略评估 CBOM，包括内置的量子安全检查，并具有用户定义标准的可扩展性。
• CBOM 存储库（CBOMkit Mnemosyne）： 它收集和存储 CBOM，通过 RESTful API 实现跨项目的高效维护和检索。

CBOMkit 功能

CBOMkit 具有多项优势，包括：

• 自动化： 自动扫描和记录加密使用情况，减少人为错误。
• 可观测性： 提供可视化和统计数据，以便清楚地了解加密的使用情况。
• 遵守： 通过内置合规性检查确保遵守安全策略，并为自定义规则留出空间。
• 一体化： 通过其 API 和数据库轻松集成到现有的开发和安全工作流程中。
• 可扩展性： 专为未来扩展而设计，以支持其他语言、库和合规性策略。

CBOMkit 入门

CBOMkit为开发者提供了多个切入点，帮助开发者熟悉CBOM并有效管理加密资产。感兴趣的用户可以访问 GitHub 页面来探索其功能。例如，开发人员可以在源代码上运行 CBOM 生成器来生成 CBOM 或使用 CBOM 查看器来检查结果。

图片来源：Shutterstock