可信且保密的 SBOM 交换
密码学与安全
2026-03-13 v3
摘要
软件清单 (SBOM) 已成为通过透明度披露软件构件以提高软件供应链安全性和可信度的监管要求。然而，企业和受监管的软件供应商常常希望限制谁可以查看其 SBOM 中记录的机密软件元数据，以保护知识产权或安全漏洞信息。为解决透明度与保密性之间的矛盾，我们提出 Petra，一个赋能软件供应商使用选择性加密进行可互操作的组成和分发被删减 SBOM 数据的 SBOM 交换系统。Petra 使软件消费者能够在不泄露其未获授权访问信息的前提下，搜索被删减的 SBOM 以获取特定安全问题的答案。Petra 利用格式中立、防篡改的 SBOM 表示生成高效且保密的完整性证明，允许感兴趣的各方进行密码学审计并建立对被删减 SBOM 的信任。我们在 Petra 原型中，SBOM 的交换仅需额外不足 1 KB，且 SBOM 解密在 SBOM 查询期间的性能开销最多仅为 1%。
引用
@article{arxiv.2509.13217,
title = {Trustworthy and Confidential SBOM Exchange},
author = {Eman Abu Ishgair and Chinenye Okafor and Marcela S. Melara and Santiago Torres-Arias},
journal= {arXiv preprint arXiv:2509.13217},
year = {2026}
}
备注
To appear at USENIX Security '26