认识系统包数据交换:带Profile的SPDX 3.0

最新版本的系统包数据交换 (SPDX) 已于周二在北美开源峰会上发布。

译自 Meet the System Package Data Exchange: SPDX 3.0, with Profiles,作者 Steven J Vaughan-Nichols。

西雅图 — “系统”物料清单(System” Bill of Materials)的开放标准 SPDX 迈出了重要一步。

多年来,我们需要一种标准方法,让公司能够在软件物料清单 (SBOM)中标准化其许可证和组件信息(元数据),以便轻松发现和标记其产品中的开源组件。

该问题的答案是软件包数据交换 (SPDX),又称国际标准化组织 (ISO) 标准:ISO/IEC 5962:2021。现在,在西雅图举行的 北美开源峰会 上,最新版本 SPDX 3.0 已正式亮相。

Mitre Corporation的高级首席软件和供应链保障工程师 Bob Martin 表示:“这已经是一场持续了六年的拉锯战,但 SPDX 现在不仅规定了软件物料清单的格式,还规定了所有内容的格式。”

因此,SPDX 今后将被称为系统包数据交换——表明其用途已不仅仅局限于软件。

新的系统包数据交换如何涵盖“所有内容”?通过添加 SPDX 配置文件。它从包含所有程序、硬件项目、人工智能、软件即服务等内容的核心 SPDX 配置文件开始。在其之上是用于安全、许可和构建信息的附加元数据的配置文件。

SPDX 已通过 SPDX 配置文件变得更加有用。它提供了针对流行用例(例如安全、精确许可、人工智能模型训练等)微调的信息子集。此增强功能简化了 SPDX 的使用,赋能了开发、安全、数据科学和法律领域的利益相关者。

如果这听起来很棒但很复杂,那么,你说的没错。为了让 SPDX 3.0 更易于使用,它包含了开箱即用的配置文件(Profile)模板。这将简化开发人员和最终用户的采用和实施。

寻求开发人员的采用

GitHub 也在竭尽全力让程序员更容易采用它。“我们向 GitHub 的依赖关系图添加了 SPDX 导出,以便开发人员能够轻松满足监管要求,并且我们已经看到社区对此做出了热情的回应,”GitHub 的产品管理高级总监 Justin Hutchings 说。

“提高软件供应链 透明度是构建一个更安全世界的基础。”

这一点很重要,因为 SPDX 不仅仅是一个好主意;它是一项法律——至少在美国是这样。第 14028 号行政命令要求“一份正式记录,其中包含用于构建软件的各种组件的详细信息和供应链关系”,类似于包装上的食品成分标签。简而言之,即 SBOM。

SBOM 不必使用 SPDX。还有其他标准 SBOM 格式,例如 CycloneDX通用平台枚举 (CPE)。然而,作为 ISO 标准,并且通过配置文件将 SPDX 扩展到基本上任何平台或流程,SPDX 似乎是成为主导标准的稳妥选择。

正如英特尔软件和高级技术集团副总裁 Melissa Evers 所说,“英特尔采用开放的国际标准,以帮助提供安全信息的透明度和披露,符合新兴法规。

“SPDX 版本 3 的发布是一个重要的里程碑,因为其模块化设计允许记录软件组件的多个方面的信息,包括安全和许可。”

在众多其他软件和安全公司及组织的支持下,SPDX 3.0 似乎肯定会成为未来几年的 SBOM 标准。

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注