SPDX SBOM Format

Description

SPDX (Software Package Data Exchange) est le standard ISO/IEC 5962:2021 pour les SBOM, maintenu par la Linux Foundation. Il décrit les packages logiciels, leurs relations (contient, dépend de, génère), les licences SPDX-License-Identifier et les checksums de vérification.

Mise en œuvre

Générer avec Syft : syft image:tag -o spdx-json > sbom.spdx.json. Valider avec ntia-conformance-checker pour vérifier la conformité aux exigences NTIA minimum elements. Ingérer dans Dependency-Track (supporte SPDX 2.3+).

Points clés

• NTIA minimum elements : supplier, component name, version, unique ID, dependency relationships
• SPDX 3.0 : nouveau modèle objet couvrant sécurité, licences, AI/ML et SBOM de SBOM
• Différence CycloneDX : SPDX mieux adapté à la conformité légale (licences), CycloneDX à la sécurité (VEX)