Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

POST: SBOM signature, schmignature

Đang mở
  • Có gì không ổn?
#28 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
25/100
Loại issue
Tài liệu
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Đình trệ
Lĩnh vực
content

Hướng nghiên cứu

Phần nội dung của issue chứa một quan điểm về tính toàn vẹn và việc ký SBOM, nhưng không nêu tên tệp, định dạng bài viết hoặc yêu cầu xuất bản nào. Trước tiên, hãy kiểm tra cấu trúc nội dung Docusaurus và Markdown của repository cũng như các bài viết hiện có, sau đó xác nhận với maintainer xem văn bản này có nên trở thành một bài viết được xuất bản hay không và những tiêu chí hoàn thành nào được áp dụng.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

blog ready-to-post

There is a school of thoughts that SBOMs are at risk and can be scammed, spoofed and tempered with and that will be the end of the world.

The quality of inventories collected by SCA tools is the problem.

I appreciate the concern wrt. SBOM integrity, but frankly I feel that that concern of hacking or spoofing an SBOM is a red herring and the least of concerns in the current state of affairs.

I can happily sign an incorrect SBOM and recipients will get the warm and fuzzies from my signature. But the data can still be wrong. The concern is to get correct tools, with verifiable reporting and detection capabilities backed by open, community-driven benchmarks so I can get some comfort that the tool has basic features.

Until then, signing is mostly harmless and the addiction to signing and checksumming everything from SBOM to attestations - including bad data - as being the cure-it-all to software supply chain issues is not a solution but a distraction in most cases until we have reached more tooling maturity.

Ngôn ngữ chính
JavaScript
Star
9
Fork
17
Merge trung bình
7 giờ 55 phút
Pull request đã merge (30 ngày)
2

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của aboutcode-org/www.aboutcode.org

Tất cả issue của aboutcode-org/www.aboutcode.org

Issue tương tự

Thêm issue về JavaScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.