CBOM : Cryptography Bill of Materials
Cryptographie
CBOM : Cryptography Bill of Materials. « Nomenclature cryptographique », par analogie avec la liste des ingrédients au dos d'un paquet de biscuits, sauf qu'ici l'allergène s'appelle un algorithme périmé.
Contenu : Un inventaire structuré des éléments cryptographiques d'un logiciel ou d'un système : algorithmes, tailles de clés, modes, protocoles, certificats, bibliothèques utilisées et endroits où ils interviennent.
Lien avec le SBOM : Il prolonge la nomenclature logicielle : le SBOM dit quels composants sont présents, le CBOM dit ce qu'ils font en matière de chiffrement et de signature. Certains formats de SBOM, dont CycloneDX, savent déjà le représenter.
Crypto-agilité : Sans inventaire, pas de migration : impossible de remplacer RSA par un algorithme post-quantique là où l'on ignore qu'il se trouve. On ne se débarrasse que de ce qu'on a pris la peine de compter, principe que les greniers démontrent depuis des siècles.
Ce qui arrive si on s'en passe
Sans inventaire cryptographique, les algorithmes obsolètes survivent dans des coins oubliés : un hachage MD5 dans un vieux module, une clé RSA trop courte dans un certificat interne, un protocole déprécié dans une bibliothèque embarquée. Quand un algorithme est cassé ou déclaré insuffisant, personne ne peut dire en combien d'endroits il est utilisé, ni combien de temps prendra son remplacement. La migration vers la cryptographie post-quantique devient une fouille archéologique au lieu d'un projet planifiable. Tenir une nomenclature à jour, générée si possible à la construction du logiciel, permet de répondre en quelques minutes à la question « où utilise-t-on cet algorithme ? ».
Explication de la marmotte
Un programme informatique utilise souvent des méthodes secrètes pour protéger les données : des façons de brouiller les messages, de vérifier une signature, de fabriquer des clés. Avec le temps, certaines de ces méthodes deviennent trop faibles et doivent être remplacées. Encore faut-il savoir où elles se trouvent. La nomenclature cryptographique est une liste détaillée de toutes ces méthodes, de leurs réglages et de l'endroit où chacune est utilisée. C'est comme la liste des ingrédients sur un emballage : on sait tout de suite si un produit contient ce qu'il faut éviter.
Où ce terme est utilisé
- Gouverner la cryptographie: inventaire, agilité et conformité (2 occurrences)