POST: SBOM signature, schmignature
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- 1-2 jours
- Accessibilité débutants
- 25/100
- Type d'issue
- Documentation
- Clarté
- À clarifier
- Activité
- À l'abandon
- Domaine
- content
Piste de recherche
Le corps de l’issue contient un avis sur l’intégrité et la signature des SBOM, mais ne précise aucun fichier, format de publication ou exigence de publication. Examinez d’abord la structure du contenu Docusaurus et Markdown du dépôt ainsi que les articles existants, puis confirmez avec un mainteneur si ce texte doit devenir un article publié et quels critères d’achèvement s’appliquent.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
There is a school of thoughts that SBOMs are at risk and can be scammed, spoofed and tempered with and that will be the end of the world.
The quality of inventories collected by SCA tools is the problem.
I appreciate the concern wrt. SBOM integrity, but frankly I feel that that concern of hacking or spoofing an SBOM is a red herring and the least of concerns in the current state of affairs.
I can happily sign an incorrect SBOM and recipients will get the warm and fuzzies from my signature. But the data can still be wrong. The concern is to get correct tools, with verifiable reporting and detection capabilities backed by open, community-driven benchmarks so I can get some comfort that the tool has basic features.
Until then, signing is mostly harmless and the addiction to signing and checksumming everything from SBOM to attestations - including bad data - as being the cure-it-all to software supply chain issues is not a solution but a distraction in most cases until we have reached more tooling maturity.
- Langage dominant
- JavaScript
- Étoiles
- 9
- Forks
- 17
- Merge moyen
- 7 h 55 min
- PR mergées (30 j)
- 2
Préparer son environnement
Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de aboutcode-org/www.aboutcode.org
-
Making all post button.Peut-être pris @sarthaklole l’a pris il y a 71 jours. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
aboutcode-org/www.aboutcode.org#117 · 3 commentaires ·
-
WWW: Reduce frequency of update-releasesPeut-être à nouveau libre @johnmhoran l’a pris il y a 51 jours, et aucune pull request n’est ouverte. Ouverteci-workflow
Difficulté 2/5 1-3 heures Accessibilité débutants 45/100
aboutcode-org/www.aboutcode.org#180 · 1 personne assignée ·
-
DOCS: Create new AboutCode stack diagram(s)Peut-être à nouveau libre @hixvikas l’a pris il y a 53 jours, et aucune pull request n’est ouverte. Ouvertedocumentation
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
aboutcode-org/www.aboutcode.org#166 · 1 commentaire ·
-
WWW: Create About top level page?Peut-être pris @pombredanne l’a pris il y a 154 jours. Ouvertewebsite
Difficulté 2/5 1-3 heures Accessibilité débutants 35/100
aboutcode-org/www.aboutcode.org#164 · 1 réaction · 1 personne assignée ·
-
WWW: Add Initiatives and grant ProjectsPeut-être à nouveau libre @mjherzog l’a pris il y a 241 jours, et aucune pull request n’est ouverte. Ouverteenhancement needs design website
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 25/100
aboutcode-org/www.aboutcode.org#141 · 1 personne assignée ·
Toutes les issues de aboutcode-org/www.aboutcode.org
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 73/100
microsoft/monaco-editor#5563 ·
Les mainteneurs répondent en général sous 1 jour
-
Package downloads never retry: getUrlWithResuming's retry catch cannot see a rejected requestOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
Les mainteneurs répondent en général sous 1 jour
-
account: profile bug
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 5 jours
-
ai-driven-fuzzing bug claude Minor
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
linagora/cozy-client#1777 · 1 commentaire · 1 réaction ·
Les mainteneurs répondent en général sous 1 jour