Générez un Cryptographic Bill of Materials CycloneDX 1.6

Qu’est-ce qu’un générateur de CBOM ?

Un générateur de CBOM analyse logiciels et infrastructures à la recherche de cryptographie et consigne ce qu’il trouve dans un Cryptographic Bill of Materials : une liste lisible par machine des algorithmes, clés, certificats et protocoles, chacun avec l’endroit où il a été trouvé. CRYPTAGION génère des CBOM CycloneDX 1.6, validés contre le schéma officiel, à partir du code source, des certificats et des endpoints TLS en production.

Ce que contient le CBOM

Contrairement à un scanner à source unique, CRYPTAGION réunit trois surfaces de découverte dans un seul inventaire :

• Code : Python (AST), ainsi que JavaScript/TypeScript, Java, Go et C/C++ (analyse statique).
• Certificats : X.509 aux formats PEM, DER, CRT et CER.
• Endpoints TLS : inspection du handshake en production (protocoles, suites de chiffrement).

Chaque actif cryptographique devient un composant CycloneDX cryptographic-asset de premier rang, avec famille d’algorithme et primitive, taille de clé ou courbe, mode et padding quand ils sont détectés, validité des certificats, et une description qui consigne le statut face au quantique et l’emplacement dans le code (par exemple encrypt.go:11).

Les faits d’inventaire, séparés de l’interprétation

Le CBOM consigne ce qui a été trouvé, dans les champs standard de CycloneDX, avec une description qui conserve l’emplacement dans le code. Ce composant est repris tel quel du CBOM de fixture illustrative :

{
  "type": "cryptographic-asset",
  "name": "RSA-OAEP",
  "description": "RSA padding: OAEP discovered in key_manager.py:19",
  "cryptoProperties": {
    "assetType": "algorithm",
    "algorithmProperties": { "primitive": "pke", "padding": "oaep" }
  }
}

L’évaluation de CRYPTAGION (score de risque et justification, sensibilité des données, exposition HNDL, remplaçant recommandé et année de migration) est écrite dans des sorties distinctes (risk score --output, le rapport PDF, SARIF et la feuille de route). Le CBOM reste un inventaire portable et neutre que tout outil CycloneDX sait lire ; l’interprétation reste explicite et attribuable.

Validé, portable, neutre

La sortie est du CycloneDX 1.6 validé contre le schéma, pas un format maison. Elle circule entre vos outils, survit au fournisseur, et c’est l’artefact que les auditeurs attendent de plus en plus. Voir ce qui distingue un CBOM d’un SBOM.

Le CBOM est la couche de preuve

CRYPTAGION ajoute contexte, risque, politique et décisions de migration au-dessus de cet inventaire : CBOM CycloneDX → contexte cryptographique → risque → décision → feuille de route de migration. Il produit un score de risque quantique par actif, une analyse d’exposition « récolter maintenant, déchiffrer plus tard », un PDF pour la direction et une feuille de route par vagues. Voir la comparaison avec les outils CBOM open source (en anglais), ou à quoi ressemble un résultat.

Généré dans votre périmètre

Le CBOM est produit là où vit votre code, on-prem ou air-gapped, sans aucun code source dans le fichier exporté. Voir déploiement et flux de données (en anglais).

CRYPTAGION alimente vos activités de conformité ; l’utilisation du produit n’établit pas à elle seule la conformité réglementaire.

← Ressources · Accueil