IBM Research présente CBOMkit pour une gestion améliorée de la cryptographie

En réponse à la menace quantique émergente pour la cryptographie et aux pressions réglementaires croissantes, IBM Research a dévoilé un nouvel ensemble d’outils nommé CBOMkit. Cette initiative open source est conçue pour aider les développeurs à gérer plus efficacement les actifs cryptographiques en tirant parti de la norme CycloneDX Cryptography Bill of Materials (CBOM), selon IBM Research.

Activer la gouvernance de la cryptographie

La cryptographie constitue une défense cruciale contre les violations et les perturbations des données. Cependant, l’avènement de l’informatique quantique présente un défi important pour les méthodes cryptographiques traditionnelles, nécessitant une transition vers des alternatives à sécurité quantique. La norme CycloneDX CBOM, initialement développée par IBM Research, offre un format lisible par machine pour documenter et échanger des informations sur les actifs cryptographiques, facilitant ainsi l’analyse automatisée de la sécurité et les contrôles de conformité.

Le CBOMkit d’IBM Research vise à rationaliser la création et la gestion des CBOM, encourageant ainsi leur adoption généralisée par les développeurs. En mettant ces outils à disposition, IBM cherche à simplifier la gestion des actifs cryptographiques au sein des dépendances logicielles, favorisant ainsi un environnement de développement plus sécurisé.

Outils CBOMkit

La suite CBOMkit comprend plusieurs composants clés :

• Générateur CBOM pour le code source (CBOMkit Hyperion) : Cet outil analyse les référentiels Git pour détecter les invocations cryptographiques dans le code source, générant ainsi un CBOM avec ses résultats. Il prend en charge des langages comme Java et Python, couvrant des bibliothèques populaires telles que JCA et pyca/cryptographie.
• Générateur CBOM pour les images de conteneurs (CBOMkit Theia) : Theia est conçu pour analyser les actifs cryptographiques dans les images et répertoires de conteneurs, générant des CBOM en analysant des sources telles que les répertoires locaux et les images Docker.
• Visionneuse CBOM (CBOMkit Coeus) : Un service Web qui visualise les CBOM générés ou téléchargés, fournissant une vue d’ensemble et des statistiques détaillées des composants cryptographiques au sein d’un projet.
• Moteur de conformité CBOM (CBOMkit Themis) : Ce composant évalue les CBOM par rapport à des politiques prédéfinies, y compris une vérification de sécurité quantique intégrée, avec extensibilité pour les critères définis par l’utilisateur.
• Référentiel CBOM (CBOMkit Mnemosyne) : Il collecte et stocke les CBOM, permettant une maintenance et une récupération efficaces entre les projets via une API RESTful.

Caractéristiques du CBOMkit

CBOMkit offre plusieurs avantages, notamment :

• Automation: Automatise l’analyse et la documentation de l’utilisation cryptographique, réduisant ainsi les erreurs manuelles.
• Observabilité : Fournit une visualisation et des statistiques pour une compréhension claire de l’utilisation cryptographique.
• Conformité: Garantit le respect des politiques de sécurité grâce à des contrôles de conformité intégrés, avec de la place pour des règles personnalisées.
• Intégration: S’intègre facilement aux workflows de développement et de sécurité existants via son API et sa base de données.
• Extensibilité: Conçu pour une expansion future afin de prendre en charge des langues, des bibliothèques et des politiques de conformité supplémentaires.

Premiers pas avec CBOMkit

Le CBOMkit offre plusieurs points d’entrée permettant aux développeurs de se familiariser avec CBOM et de gérer efficacement les actifs cryptographiques. Les utilisateurs intéressés peuvent visiter la page GitHub pour explorer ses capacités. Par exemple, les développeurs peuvent exécuter le générateur CBOM sur le code source pour produire un CBOM ou utiliser le CBOM Viewer pour inspecter les résultats.

Source de l’image : Shutterstock