Kluczowe Wnioski:
- SBOM to “cyfrowa lista składników” każdego oprogramowania.
- Pozwala na natychmiastowe wykrycie dziurawych bibliotek (np. Log4Shell).
- Staje się globalnym wymogiem prawnym w USA i UE.
Gdy w 2021 roku wybuchła afera wokół dziury Log4Shell, wielu naszych znajomych inżynierów nie spało przez tydzień, sprawdzając serwery ręcznie, bo nikt nie wiedział, gdzie ukryta jest felerna biblioteka. Wtedy obiecaliśmy sobie w GADNET, że nigdy więcej nie dopuścimy do takiej sytuacji w domowych routerach. Wyobraź sobie, że kupujesz w markecie puszkę, ale nie ma na niej listy składników. Z oprogramowaniem było dokładnie tak samo. Wszystko zmieniło się, gdy do gry wszedł SBOM.
Czym tak naprawdę jest SBOM?
SBOM (z angielskiego Software Bill of Materials, czyli dosłownie: zestawienie materiałów oprogramowania), to nic innego jak cyfrowa lista składników. Wyobraź sobie szczegółowy wykaz wszystkich komponentów, małych bibliotek, zależności i narzędzi użytych do zbudowania aplikacji.
Note
SBOM działa jak etykieta z wartościami odżywczymi na Twoim cyfrowym produkcie. Pozwala administratorom w ułamku sekundy odpowiedzieć na pytanie: “Czy nasz system używa tej konkretnej, dziurawej biblioteki, o której wszyscy dzisiaj mówią?”.
Po co nam to w ogóle potrzebne?
Zadaniem SBOM jest wpuszczenie trochę światła w ten łańcuch dostaw oprogramowania. Dzisiaj prawie nikt nie pisze aplikacji od absolutnego zera. Większość kodu to klocki wzięte z darmowych projektów Open Source.
Kiedy w 2021 roku wybuchła gigantyczna afera wokół dziury Log4Shell w bibliotece Log4j, firmy na całym świecie po prostu wpadły w histerię. Ludzie nie mieli zielonego pojęcia, czy ich systemy mogą zostać zhakowane, bo ta jedna, mała biblioteka była ukryta głęboko w trzewiach innych programów. Te firmy, które już wtedy miały wdrożony SBOM, po prostu przeszukały swoją listę składników i w kilka sekund widziały, gdzie muszą załatać kod.
Kto tego wymaga? Zaskoczenie: rządy.
SBOM przestał być tylko “fajną rzeczą, którą warto mieć”. Dzisiaj staje się po prostu twardym prawem, szczególnie gdy w grę wchodzi bezpieczeństwo narodowe.
- USA: W 2021 roku prezydent podpisał rozporządzenie (Rozporządzenie Wykonawcze 14028). Mówi ono jasno: wszyscy dostawcy piszący kod dla agencji federalnych muszą dostarczyć do niego SBOM. Bez wyjątków.
- Unia Europejska: Nowe, głośne prawo Cyber Resilience Act - CRA narzuca na producentów elektroniki (od routerów po kamery domowe) obowiązek bardzo ścisłego dokumentowania tego, z czego składa się sprzęt. To w zasadzie wymusza SBOM z urzędu.
- Medycyna: Producenci sprzętu i oprogramowania medycznego (FDA) muszą udostępniać listę składników, żeby w ogóle otrzymać certyfikację w Stanach Zjednoczonych.
Jak my to robimy w GADNET?
Bezpieczeństwo w projekcie GADNET to nie jest pusty frazes z folderu reklamowego. Od początku projektowaliśmy nasz system jako bezpieczną alternatywę dla zwykłych routerów, która stawia na stuprocentową przejrzystość.
Dlatego w GADNET SBOM to absolutna podstawa. Nasi użytkownicy muszą wiedzieć, jaki kod zarządza ruchem sieciowym w ich domach.
- Nic do ukrycia: Każdą aktualizację GADNET możesz prześwietlić i sprawdzić, jakich darmowych pakietów użyliśmy.
- Szybka reakcja: Gdy w świecie pojawi się nowa “dziura” (typu Zero-Day) w czymś popularnym, system od razu wie, czy to nas dotyczy. Możemy od razu zalecić aktualizację albo zablokowanie ruchu.
- Prawdziwe zaufanie: Żyjemy w czasach, w których tanie routery od operatorów są co chwilę porywane przez hakerskie botnety. Zamiast czarnej skrzynki bez dostępu, dostajesz od nas rozwiązanie z pełną “listą składników”.
Trzymając się standardów takich jak SBOM, GADNET nie tylko wyrabia się przed nowymi regulacjami prawnymi, ale po prostu dostarcza ochronę na poziomie korporacyjnym prosto do Twojego domu.