Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

POST: SBOM signature, schmignature

Offen
  • Stimmt etwas nicht?
#28 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
3/5
Geschätzter Aufwand
1-2 Tage
Anfängerfreundlichkeit
25/100
Issue-Typ
Dokumentation
Klarheit
Muss geklärt werden
Aktivitätsstatus
Veraltet
Bereich
content

Rechercherichtung

Der Issue-Body enthält eine Meinung zur Integrität und Signierung von SBOM, nennt aber keine Datei, kein Beitragsformat und keine Anforderungen an die Veröffentlichung. Untersuche zunächst die Docusaurus- und Markdown-Inhaltsstruktur des Repositorys sowie bestehende Beiträge und kläre dann mit einem Maintainer, ob dieser Text als veröffentlichter Beitrag erscheinen soll und welche Kriterien für den Abschluss gelten.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

blog ready-to-post

There is a school of thoughts that SBOMs are at risk and can be scammed, spoofed and tempered with and that will be the end of the world.

The quality of inventories collected by SCA tools is the problem.

I appreciate the concern wrt. SBOM integrity, but frankly I feel that that concern of hacking or spoofing an SBOM is a red herring and the least of concerns in the current state of affairs.

I can happily sign an incorrect SBOM and recipients will get the warm and fuzzies from my signature. But the data can still be wrong. The concern is to get correct tools, with verifiable reporting and detection capabilities backed by open, community-driven benchmarks so I can get some comfort that the tool has basic features.

Until then, signing is mostly harmless and the addiction to signing and checksumming everything from SBOM to attestations - including bad data - as being the cure-it-all to software supply chain issues is not a solution but a distraction in most cases until we have reached more tooling maturity.

Vorherrschende Sprache
JavaScript
Sterne
9
Forks
17
Ø Merge
7 Std. 55 Min.
Gemergte PRs (30 T.)
2

Entwicklungsumgebung

Dieses Projekt bietet weder Dev-Container noch Dockerfile noch Beitragsleitfaden – die Einrichtung liegt bei Ihnen. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus aboutcode-org/www.aboutcode.org

Alle Issues in aboutcode-org/www.aboutcode.org

Ähnliche Issues

Weitere Issues zu JavaScript

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.