SBOM Attestation

Définition

Une SBOM Attestation (attestation de Software Bill of Materials) est un document cryptographiquement signé liant un SBOM spécifique à un artefact logiciel spécifique — typiquement une image Docker ou un paquet logiciel — garantissant que le SBOM décrit fidèlement les composants de cet artefact et que le SBOM n'a pas été falsifié depuis sa génération. L'attestation SBOM combine deux éléments : le SBOM lui-même (liste des composants) et la signature cryptographique prouvant son authenticité et son intégrité. La valeur de l'attestation SBOM par rapport à un simple SBOM non signé réside dans la garantie d'intégrité : sans signature, un SBOM pourrait être modifié après génération (pour masquer des composants vulnérables ou ajouter des composants légitimes qui ne sont pas réellement présents), compromettant la confiance dans l'inventaire des composants. Une attestation SBOM signée par le pipeline CI via Cosign (keyless ou avec clé) est vérifiable cryptographiquement par n'importe qui disposant de la clé publique, prouvant que le SBOM a été généré par le pipeline autorisé et n'a pas été modifié. Le format standard pour les attestations SBOM est l'in-toto Statement (SLSA) avec le predicate type "https://spdx.dev/Document" (pour les SBOMs SPDX) ou "https://cyclonedx.org/bom" (pour les SBOMs CycloneDX). L'attestation SBOM est attachée à l'image OCI via cosign attest --type spdx, permettant aux consommateurs de récupérer et vérifier le SBOM via cosign verify-attestation --type spdx. L'adoption des attestations SBOM est encouragée par les réglementations émergentes : l'Executive Order 14028 américain et le Cyber Resilience Act européen requièrent des SBOMs pour les logiciels utilisés dans les systèmes gouvernementaux et les produits avec des éléments numériques, avec une tendance vers l'exigence de SBOMs signés plutôt que de simples fichiers SBOM non authentifiés.