Leer una SBOM (SPDX y CycloneDX) y sus campos

Una SBOM (lista de materiales de software) es un inventario de los componentes de un software: cuáles son, de qué versión, de quién y cómo se relacionan unos con otros. Está pensada para que una máquina la lea. El informe de la NTIA de julio de 2021 la define como un registro formal con los detalles y las relaciones de la cadena de suministro de los componentes con que se construyó el software, y fija los datos mínimos que debe traer.

Lo que no es: no dice qué componentes tienen fallos, no certifica que el software sea seguro y no sustituye la evaluación del proveedor. Es el inventario contra el que luego se cruzan los avisos y las licencias.

La NTIA fijó siete datos de referencia por componente: nombre del proveedor, nombre del componente, versión, otros identificadores únicos, relación de dependencia, autor de los datos del SBOM y marca de tiempo. Los dos últimos pertenecen al documento más que a cada componente: dicen quién generó la lista y cuándo. Por eso aparecen en la cabecera y no se repiten fila por fila. Sin ellos no se sabe de quién es la lista ni si está vigente.

El informe nombra tres formatos de apoyo a la automatización: SPDX, CycloneDX y las etiquetas SWID. Los dos primeros son los que suele encontrar un analista. En CycloneDX los datos viajan en una cabecera de metadatos y una lista de componentes; en SPDX, en un bloque de información de creación y una lista de paquetes. Aquí, la tabla cabecera hace de metadatos.

Cuando el proveedor de un componente no aparece, nadie sabe a quién avisar si hay un fallo ni quién lo mantiene. En el SBOM de Lomas Verdes hay componentes con el dato vacío; algunos son hojas del árbol de dependencias, que nadie pidió directamente y por eso nadie vigila.

La columna dependencia_de dice de qué componente cuelga cada uno. Un componente profundo suele ser el que el equipo no eligió: llegó con otro. Para decidir con quién hablar hay que subir el árbol hasta el componente directo, el que cuelga de la raíz y que el proveedor sí eligió, porque ese es el que responde por lo que arrastra.

Empieza en el componente analizador-xml-hoja, sube por dependencia_de y detente en el que cuelga directamente del portal, el de la referencia C-01.

El nombre de un componente sin su versión casi no sirve. Los avisos de seguridad y los datos de licencia se refieren a versiones concretas: «el componente X hasta la versión 2» o «desde la versión 3». Sin versión, el aviso no se puede cruzar y el analista queda sin saber si el componente listado está afectado.