Podatność ma inny status w różnych wydaniach
Release jest brakującym ogniwem pomiędzy produktem, SBOM, podatnością, poprawką i dowodami dostarczenia aktualizacji.
Vendor assurance i delivered artifact assurance to dwa różne poziomy
ISO 27001, SOC 2, pentest lub opis secure SDLC mówią o organizacji i procesie dostawcy. Nie odpowiadają automatycznie na pytanie, czy dokładny JAR, image, binary albo firmware otrzymany przez producenta zawiera komponenty zadeklarowane w konkretnym SBOM.
Delivered artifact assurance zaczyna się od identyfikacji dokładnych bajtów. Zapis SHA-256 artefaktu, SHA-256 pliku SBOM oraz wersja Product Release ograniczają ryzyko porównania materiałów pochodzących z innych buildów.
Praktyczny workflow weryfikacji SBOM dostawcy
- zapisz Product Release i dokładny Shipped Artifact z SHA-256
- pozyskaj supplier SBOM oraz deklarowany przez dostawcę digest artefaktu
- wygeneruj osobny SBOM z otrzymanego artefaktu lub kontrolowanego pipeline'u, używając np. Syft, Trivy albo cdxgen
- zapisz oba snapshoty jako odrębne źródła CycloneDX lub SPDX
- porównaj znormalizowane, dokładne identyfikatory komponentów
- zachowaj coverage, missing declared components, unexpected observed components i unresolved identities
- zapisz wynik i supporting evidence jako niezmienny rekord
- przekaż różnice do human triage; nie zmieniaj automatycznie affectedness, VEX ani Article 14
Jak interpretować MATCH, PARTIAL, MISMATCH i NOT VERIFIED?
| Status | Znaczenie operacyjne | Następny krok |
|---|---|---|
| MATCH | Zbiory dokładnych identyfikatorów są równe, oba źródła deklarują kompletność i brak unresolved identities | zachowaj zakres, narzędzie, wersję i dowód; nadal oceń ograniczenia metody |
| PARTIAL | Zbiory dokładnych identyfikatorów są równe, ale co najmniej jedno źródło jest partial/unknown albo zawiera nierozstrzygnięte identyfikatory | uzupełnij dane i powtórz porównanie |
| MISMATCH | Występują komponenty brakujące w obserwacji albo nieoczekiwane w artefakcie | wyjaśnij build, zakres, vendor blobs, forki i wersje |
| NOT VERIFIED | Brakuje wystarczającego zbioru dokładnych identyfikatorów do porównania | nie zgaduj dopasowania; popraw identyfikację lub metodę |
Workspace nie zastępuje SCA ani skanera binarnego
CRA Workspace przyjmuje istniejące snapshoty i wynik technicznego porównania. Nie pobiera kodu dostawcy, nie wykonuje artefaktu i nie próbuje zastąpić Syft, Trivy, cdxgen, Snyk lub Dependency-Track.
Wartość workflow polega na traceability: dokładny artefakt i digest → dokładne źródła SBOM → metoda i wersja narzędzia → wynik i różnice → Evidence Vault → istniejący CVE/OSV i human triage.
Weryfikacja SBOM dostawcy — FAQ
Czy zgodny wynik MATCH dowodzi, że SBOM jest kompletny?
Nie. MATCH oznacza równość porównanych znormalizowanych identyfikatorów przy zapisanym zakresie i metodzie. Narzędzia mogą nie rozpoznać statycznie linkowanego kodu, vendor blobs, zmienionych forków albo komponentów bez jednoznacznej tożsamości.
Czy trzeba przesyłać artefakt do CRA Workspace?
Nie. Workspace może zapisać SHA-256 i metadane artefaktu oraz przyjąć SBOM wygenerowany zewnętrznym narzędziem. Nie przechowuje ani nie uruchamia binariów w tym workflow.
Co oznacza komponent unexpected?
To dokładna tożsamość obecna w niezależnej obserwacji artefaktu, której nie ma w wybranym supplier SBOM. Może wskazywać różnicę zakresu, build dependency, vendor blob, zmianę wersji albo błąd identyfikacji i wymaga wyjaśnienia.
Czy MISMATCH oznacza podatność lub naruszenie CRA?
Nie. MISMATCH jest techniczną różnicą pomiędzy dwoma źródłami. Nie dowodzi podatności, nie ustala affectedness i nie stanowi oceny zgodności. Różnice powinny trafić do przeglądu człowieka.
Czy CRA nakazuje niezależnie skanować każdy SBOM dostawcy?
Rozporządzenie wymaga m.in. due diligence wobec komponentów stron trzecich oraz identyfikowania i dokumentowania komponentów i podatności. Nie ustanawia jednak jednego obowiązkowego narzędzia ani uniwersalnej procedury porównania każdego supplier SBOM. Zakres assurance powinien wynikać z ryzyka i kontekstu produktu.
Oficjalne źródła
Podstawa materiału została sprawdzona 8 września 2026.