T-CSAC 002-2024 軟件標(biāo)識標(biāo)簽技術(shù)要求

ICS35.240.01CCSL78T/CSACTechnicalrequirementsforsoftwareidentificIT/CSAC002—2024 2規(guī)范性引用文件 3術(shù)語和定義 4縮略語 25軟件標(biāo)識標(biāo)簽 25.1概述 25.2總體結(jié)構(gòu) 25.3基本數(shù)據(jù)元素 35.4補充描述性數(shù)據(jù)元素 36軟件標(biāo)識標(biāo)簽基本數(shù)據(jù)元素 36.1唯一標(biāo)識符 36.2軟件名稱 46.3軟件版本 46.4軟件部件號 46.5軟件供方 46.6軟件供方標(biāo)識 46.7標(biāo)簽類型 46.8時間戳 47軟件標(biāo)識標(biāo)簽處理 47.1標(biāo)簽創(chuàng)建 47.2標(biāo)簽聚合 47.3標(biāo)簽共享 57.4標(biāo)簽完整性 57.5標(biāo)簽解析 57.6標(biāo)簽存儲 58標(biāo)簽類型 58.1概述 58.2語料庫標(biāo)簽 58.3主標(biāo)識標(biāo)簽 68.4補丁標(biāo)簽 68.5補充標(biāo)簽 79標(biāo)簽相關(guān)性 79.1相關(guān)性描述 79.2依賴關(guān)系 79.3組成關(guān)系 79.4補丁關(guān)系 7T/CSAC002—202410標(biāo)簽安全 810.1數(shù)字簽名 810.2加密 8參考文獻(xiàn) 9T/CSAC002—2024本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由中國網(wǎng)絡(luò)空間安全協(xié)會提出。本文件由中國網(wǎng)絡(luò)空間安全協(xié)會歸口。本文件起草單位：中國信息安全測評中心、京東科技信息技術(shù)有限公司、工業(yè)和信息化部第五研究所、深圳市金蝶天燕云計算股份有限公司、麒麟軟件有限公司、統(tǒng)信軟件技術(shù)有限公司、蘇州棱鏡七彩信息科技有限公司、中移（杭州）信息技術(shù)有限公司、中國互聯(lián)網(wǎng)絡(luò)信息中心、北京大學(xué)深圳研究生院、沈陽東軟系統(tǒng)集成工程有限公司、北京數(shù)字認(rèn)證股份有限公司、三六零數(shù)字安全科技集團有限公司、中孚安全技術(shù)有限公司、拓爾思信息技術(shù)股份有限公司、杭州網(wǎng)易智企科技有限公司、北京航空航天大學(xué)。本文件主要起草人：邵帥、高松、鄭偉娜、唐洪山、王曉萌、柴思躍、顧欣、廖晗、林琳、李偉彬、文波、孫麗麗、張磊、梁大功、黃浩東、滕騰、徐倩華、蔡倩楠、聶智戈、楊萬祿、石娜、喻海生、賈彥生、沈天翔、劉中、肖若楠、李娜、耿貴寧、劉俊紅、魯鵬、王洪俊、朱浩奇、李雨珂、關(guān)振宇、李大偉。1T/CSAC002—2024軟件標(biāo)識標(biāo)簽技術(shù)要求本文件規(guī)定了軟件標(biāo)識標(biāo)簽的功能、通用結(jié)構(gòu)、必要的數(shù)據(jù)元素字段以及處理規(guī)則。本文件適用于軟件供方和需方對軟件標(biāo)識標(biāo)簽的處理，也可為第三方機構(gòu)開展軟件標(biāo)識標(biāo)簽驗證提供依據(jù)，為主管監(jiān)管部門提供參考。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T11457—2006信息技術(shù)軟件工程術(shù)語GB/T25069—2022信息安全技術(shù)術(shù)語GB/T36475—2018軟件產(chǎn)品分類GB/T36637—2018信息安全技術(shù)ICT供應(yīng)鏈安全風(fēng)險管理指南GB/T43698—2024網(wǎng)絡(luò)安全技術(shù)軟件供應(yīng)鏈安全要求3術(shù)語和定義GB/T43698-2024中定義的以及下列術(shù)語和定義適用于本文件。3.1軟件產(chǎn)品softwareproduct計算機軟件、信息系統(tǒng)或設(shè)備中嵌入的軟件或在提供計算機信息系統(tǒng)集成、應(yīng)用服務(wù)等技術(shù)服務(wù)時提供的計算機軟件。注1：軟件產(chǎn)品包含計算機程序代碼、規(guī)程、相關(guān)數(shù)據(jù)、文檔和相關(guān)服務(wù)。注2：本文件中軟件產(chǎn)品簡稱為軟件。[來源：GB/T43698-2024，3.1]3.2軟件標(biāo)識標(biāo)簽Softwareidentificationtag用于標(biāo)識和描述單個軟件產(chǎn)品的數(shù)據(jù)元素集合，包含軟件名稱、版本、供方等方面的信息。3.3元素Element支配類型的值或支配信息客體類別的信息客體，能分別從相同類型或相同類別信息客體的所有他值中區(qū)別出來。[來源：GB/T16262.1-2006,3.6.19]3.42T/CSAC002—2024語料庫標(biāo)簽Corpustag用于軟件安裝包的軟件標(biāo)識標(biāo)簽。3.5主標(biāo)識標(biāo)簽Primarytag用于標(biāo)識軟件產(chǎn)品發(fā)行版的標(biāo)準(zhǔn)軟件標(biāo)識標(biāo)簽。3.6補丁標(biāo)簽PatchTag用于標(biāo)識修補已發(fā)布軟件產(chǎn)品缺陷和漏洞的補丁或修復(fù)的軟件標(biāo)識標(biāo)簽。3.7補充標(biāo)簽SupplementalTag用于為已存在的軟件標(biāo)識標(biāo)簽提供額外數(shù)據(jù)元素的軟件標(biāo)識標(biāo)簽。4縮略語下列縮略語適用于本文件。SWID軟件標(biāo)識（SoftwareIdentification）CD/DVD光盤（CompactDisc/Digitalversatiledisc）5軟件標(biāo)識標(biāo)簽5.1概述軟件標(biāo)識標(biāo)簽包括標(biāo)識和描述軟件所需的數(shù)據(jù)元素。這些數(shù)據(jù)元素可支持各種軟件管理活動，如清單生成、許可證確認(rèn)、漏洞管理、配置管理等。軟件標(biāo)識標(biāo)簽應(yīng)包含如名稱、版本、發(fā)布者等軟件的基本識別信息，以及其他有用信息，如文檔位置、安裝說明、數(shù)字簽名等。標(biāo)簽中的數(shù)據(jù)元素應(yīng)能夠準(zhǔn)確、獨特地標(biāo)識軟件。軟件標(biāo)識標(biāo)簽應(yīng)僅包含標(biāo)識軟件所需的最小必要信息。額外的非識別信息應(yīng)通過引用的方式包含，而非直接集成到標(biāo)簽中，從而使軟件標(biāo)識標(biāo)簽盡可能簡潔。不同的軟件應(yīng)根據(jù)需要選擇使用標(biāo)簽的子集或擴展。標(biāo)簽可通過JSON格式表示。不管采用何種格式，都應(yīng)遵循本文件對標(biāo)簽內(nèi)容和語義的規(guī)定。軟件標(biāo)識標(biāo)簽可獨立使用，也可集成到軟件物料清單或者其他軟件關(guān)系描述文件中。5.2總體結(jié)構(gòu)如圖1所示，軟件標(biāo)識標(biāo)簽應(yīng)包含標(biāo)識軟件所需的基本數(shù)據(jù)元素(見6.2)和數(shù)據(jù)元素完整性檢查機制(見8.4)。軟件標(biāo)識標(biāo)簽可包含補充描述性數(shù)據(jù)元素(見6.3)。3T/CSAC002—2024軟件標(biāo)識標(biāo)簽采用層次化的結(jié)構(gòu)組織這些信息。最基本的一級包含用于標(biāo)識軟件所需的基本數(shù)據(jù)元素。第二級和后續(xù)級別包含額外的描述性數(shù)據(jù)元素和完整性檢查機制等。每一級都可通過引用的方式添加進(jìn)標(biāo)簽。5.3基本數(shù)據(jù)元素軟件標(biāo)識標(biāo)簽應(yīng)包含以下基本數(shù)據(jù)元素：a)唯一標(biāo)識符b)軟件名稱c)軟件版本d)軟件供方e)標(biāo)簽類型(語料庫標(biāo)簽或主標(biāo)識標(biāo)簽等)這些數(shù)據(jù)元素代表了標(biāo)識軟件所需的最小必要信息。5.4補充描述性數(shù)據(jù)元素除基本數(shù)據(jù)元素外，軟件標(biāo)識標(biāo)簽還可包含多種可選的補充描述性數(shù)據(jù)元素，比如：a)軟件部件號b)軟件供方標(biāo)識c)時間戳d)文檔信息e)許可證信息f)安裝說明g)相關(guān)性（依賴關(guān)系、組成關(guān)系和補丁關(guān)系）h)補丁/升級信息i)運行環(huán)境信息補充數(shù)據(jù)元素宜以引用的形式包含在軟件標(biāo)識標(biāo)簽中，這避免標(biāo)簽本身變得過于復(fù)雜冗長。6軟件標(biāo)識標(biāo)簽基本數(shù)據(jù)元素6.1唯一標(biāo)識符此唯一標(biāo)識符用于標(biāo)識特定的軟件標(biāo)識標(biāo)簽實例。4T/CSAC002—20246.2軟件名稱此數(shù)據(jù)元素標(biāo)識軟件產(chǎn)品的通常名稱。例如“云星光sbom-tool”。名稱應(yīng)具有足夠的特定性以準(zhǔn)確標(biāo)識軟件產(chǎn)品。過于通用的名稱如“文本編輯器”應(yīng)避免使用。6.3軟件版本此數(shù)據(jù)元素標(biāo)識軟件產(chǎn)品的準(zhǔn)確版本。版本通常由以下元素組成：a)主版本號：產(chǎn)品版本系列中主要版本的編號。b)次版本號：主版本下的次要版本編號。c)修訂號：小的修改和缺陷修復(fù)版本編號。d)構(gòu)建號：完整識別構(gòu)建或編譯的唯一標(biāo)識符。例如：“2.1.3.76543”，應(yīng)盡可能全面清晰以準(zhǔn)確區(qū)分不同軟件產(chǎn)品版本。6.4軟件部件號對于由多個部件或文件組成的軟件產(chǎn)品，可標(biāo)識特定部分或組件的編號。部分號與產(chǎn)品版本號組合，能夠準(zhǔn)確定位軟件組成部分。6.5軟件供方此數(shù)據(jù)元素標(biāo)識負(fù)責(zé)提供軟件產(chǎn)品的組織，應(yīng)使用組織的正式名稱。例如：“京東科技信息技術(shù)有限公司”。6.6軟件供方標(biāo)識此可選數(shù)據(jù)元素包含標(biāo)識軟件供方的唯一標(biāo)識字符串。6.7標(biāo)簽類型此數(shù)據(jù)元素標(biāo)識標(biāo)簽的類型，如該標(biāo)簽為語料庫標(biāo)簽、主標(biāo)識標(biāo)簽等，詳見第8章。6.8時間戳此數(shù)據(jù)元素標(biāo)識標(biāo)簽創(chuàng)建的時間。7軟件標(biāo)識標(biāo)簽處理7.1標(biāo)簽創(chuàng)建軟件供方應(yīng)在軟件產(chǎn)品發(fā)布時創(chuàng)建一個包含基本數(shù)據(jù)元素的軟件標(biāo)識標(biāo)簽。在軟件生命周期的后續(xù)階段，可根據(jù)需要通過添加補充數(shù)據(jù)元素來擴展和增強標(biāo)簽。7.2標(biāo)簽聚合對于由多個組件組成的軟件產(chǎn)品，應(yīng)為每個組件創(chuàng)建軟件標(biāo)識標(biāo)簽，然后這些組件級標(biāo)簽可聚合到產(chǎn)品級軟件標(biāo)識標(biāo)簽中。產(chǎn)品級標(biāo)簽將包含對組件標(biāo)簽的引用。5T/CSAC002—20247.3標(biāo)簽共享軟件供方應(yīng)通過軟件包或軟件目錄等方式共享軟件標(biāo)識標(biāo)簽，以便標(biāo)簽與軟件產(chǎn)品一起傳遞給需方。7.4標(biāo)簽完整性軟件供方應(yīng)通過數(shù)字簽名或哈希校驗等機制來保護(hù)軟件標(biāo)識標(biāo)簽的完整性，以防止標(biāo)簽被意外或惡意修改。7.5標(biāo)簽解析軟件需方或第三方機構(gòu)在接收到軟件標(biāo)識標(biāo)簽后應(yīng)該能解析并處理標(biāo)簽中的數(shù)據(jù)元素，解析過程應(yīng)檢驗標(biāo)簽的完整性和數(shù)字簽名的有效性。7.6標(biāo)簽存儲解析后的軟件標(biāo)識標(biāo)簽可存儲于資產(chǎn)管理系統(tǒng)、清單數(shù)據(jù)庫等倉庫中，以供后續(xù)管理和報告使用。8標(biāo)簽類型8.1概述軟件標(biāo)識標(biāo)簽可應(yīng)用于多種不同的軟件實體。本文件定義了四種類型的軟件標(biāo)識標(biāo)簽：語料庫標(biāo)簽、主標(biāo)識標(biāo)簽、補丁標(biāo)簽和補充標(biāo)簽。語料庫標(biāo)簽、主標(biāo)識標(biāo)簽和補丁標(biāo)簽具有相似的功能，因為它們描述了不同類型軟件的存在，以及軟件產(chǎn)品的不同狀態(tài)。補充標(biāo)簽以補充方式為已存在的軟件標(biāo)識標(biāo)簽提供額外數(shù)據(jù)元素。8.2語料庫標(biāo)簽8.2.1功能語料庫標(biāo)簽提供有關(guān)軟件分發(fā)的信息，可用于在軟件部署期間驗證軟件安裝包的真實性和完整性。軟件在安裝之前，通常以軟件安裝包的形式將其交付或以其他方式提供給軟件需方。安裝包包含處于預(yù)安裝狀態(tài)的軟件，通常以某種方式壓縮。軟件需方獲取安裝包后，會運行安裝過程，以使安裝包中包含的軟件解包并部署到目標(biāo)設(shè)備上。本文件定義的語料庫標(biāo)簽用于識別和描述處于這種預(yù)安裝狀態(tài)的產(chǎn)品。8.2.2數(shù)據(jù)元素語料庫標(biāo)簽?zāi)鼙挥糜隍炞C安裝包以及發(fā)布安裝包的組織的信息，補充描述性數(shù)據(jù)元素應(yīng)包括文件清單、許可證信息和分發(fā)介質(zhì)（例如CD/DVD）的信息。8.2.3處理語料庫標(biāo)簽由軟件供方創(chuàng)建，并與安裝包一起共享給需方。在軟件安裝過程中，語料庫標(biāo)簽不會安裝在設(shè)備上。語料庫標(biāo)簽可用于驗證可安裝產(chǎn)品的完整性，并在執(zhí)行安裝程序之前驗證安裝包的發(fā)行者。6T/CSAC002—2024語料庫標(biāo)簽中包含安裝文件清單，如果標(biāo)簽中的清單與安裝包中的實際文件不匹配，則檢測到安裝包被篡改。當(dāng)與其他許可數(shù)據(jù)相結(jié)合時，語料庫標(biāo)簽可以幫助消費者在安裝產(chǎn)品之前確認(rèn)他們是否擁有產(chǎn)品的有效許可。8.3主標(biāo)識標(biāo)簽8.3.1功能主標(biāo)識標(biāo)簽包含對軟件名稱、版本、軟件供方等的核心識別數(shù)據(jù)元素（例如，產(chǎn)品命名信息、預(yù)期包含的文件列表）。理想情況下，軟件供方也是該產(chǎn)品主標(biāo)識標(biāo)簽的創(chuàng)建者；然而，其他方（包括自動化工具）在軟件供方拒絕為產(chǎn)品創(chuàng)建標(biāo)簽或?qū)⒋素?zé)任委托給另一方的情況下也可為產(chǎn)品創(chuàng)建標(biāo)記。標(biāo)簽創(chuàng)建者的替代角色包括聚合、分發(fā)和許可軟件產(chǎn)品的組織和個人。主標(biāo)識標(biāo)簽與其所標(biāo)識的已安裝軟件之間存在一對一映射的關(guān)系。8.3.2數(shù)據(jù)元素每個標(biāo)記產(chǎn)品的主標(biāo)識標(biāo)簽需要提供“強制性”的所有數(shù)據(jù)元素的值。最小主標(biāo)識標(biāo)簽提供軟件名稱（作為字符串）、標(biāo)簽的唯一標(biāo)識符以及標(biāo)識標(biāo)簽創(chuàng)建者的基本信息。8.3.3處理主標(biāo)識標(biāo)簽與軟件產(chǎn)品一起安裝（或隨后創(chuàng)建），以唯一地標(biāo)識和描述軟件產(chǎn)品。當(dāng)產(chǎn)品升級時，與舊版本關(guān)聯(lián)的主標(biāo)識標(biāo)簽將被刪除，并替換為新版本的主標(biāo)識標(biāo)簽。當(dāng)產(chǎn)品從設(shè)備中移除時，其主標(biāo)識標(biāo)簽也會被移除。通過嚴(yán)格維護(hù)已安裝軟件和相關(guān)標(biāo)簽之間的一對一關(guān)聯(lián)，可以使用軟件標(biāo)識標(biāo)簽數(shù)據(jù)持續(xù)監(jiān)控已安裝軟件庫存并跟蹤軟件更新。8.4補丁標(biāo)簽8.4.1功能補丁標(biāo)簽提供有關(guān)軟件補丁的特定信息，軟件補丁一般被用于糾正產(chǎn)品中的錯誤或為產(chǎn)品添加新功能，應(yīng)引用所應(yīng)用的軟件產(chǎn)品及其版本。8.4.2數(shù)據(jù)元素補丁標(biāo)簽提供有關(guān)補丁對軟件產(chǎn)品所做的更改的信息，包括添加、刪除或更改的文件。補丁標(biāo)簽中包含的數(shù)據(jù)元素用于標(biāo)識和描述補丁，而不是應(yīng)用補丁的產(chǎn)品。例如，補丁標(biāo)簽中記錄的軟件名稱和版本不需要與補丁程序的主標(biāo)識標(biāo)簽中所記錄的產(chǎn)品名和版本匹配。相反，這些屬性可用來記錄軟件供方分配的補丁的名稱和版本。8.4.3處理軟件供方可以發(fā)布補丁來糾正軟件中的缺陷或為產(chǎn)品添加新功能。在設(shè)備上安裝補丁程序時，會對產(chǎn)品的安裝足跡進(jìn)行更改。由于補丁程序擴充了現(xiàn)有安裝，因此需要單獨跟蹤這些更改。補丁標(biāo)簽?zāi)軌?T/CSAC002—2024識別和描述補丁。安裝補丁程序后，將在設(shè)備上與修補產(chǎn)品相關(guān)的位置放置補丁標(biāo)簽。當(dāng)軟件供方未提供補丁標(biāo)簽時，需方可創(chuàng)建補丁標(biāo)簽以指示補丁的存在。與補丁不同，升級被定義為完全替換產(chǎn)品的安裝痕跡。升級通常會更改產(chǎn)品的版本號和/或發(fā)布詳細(xì)信息，因此升級會更新主標(biāo)識標(biāo)簽。8.5補充標(biāo)簽8.5.1功能補充標(biāo)簽提供了描述與其他標(biāo)簽相關(guān)的附加信息的機制，如可提供額外的許可或安裝信息，應(yīng)包含對所擴展的原標(biāo)簽的引用。任何實體都可創(chuàng)建補充標(biāo)簽，例如，可通過自動化工具創(chuàng)建補充標(biāo)簽，以便用附加的特定網(wǎng)站信息（例如許可證密鑰和本地負(fù)責(zé)方的聯(lián)系信息）來擴充現(xiàn)有的主標(biāo)識標(biāo)簽。8.5.2數(shù)據(jù)元素補充標(biāo)簽可提供補充的數(shù)據(jù)值，該數(shù)據(jù)值與主標(biāo)識標(biāo)簽的及任何其他補充標(biāo)簽提供的數(shù)據(jù)值不應(yīng)存在沖突。如果檢測到?jīng)_突，則主標(biāo)識標(biāo)簽中的數(shù)據(jù)（由軟件供方提供）被認(rèn)為是最可靠的。例如，記錄在補充標(biāo)簽中的軟件名稱應(yīng)與記錄在產(chǎn)品主標(biāo)識標(biāo)簽中的軟件名稱相匹配；如果它們不同，則記錄在主標(biāo)識標(biāo)簽中的名稱被視為首選名稱。8.5.3處理軟件產(chǎn)品升級后，與產(chǎn)品升級前版本相關(guān)的所有主標(biāo)識標(biāo)簽、補丁和補充標(biāo)簽都將被刪除。如果需要，可部署與升級版本相關(guān)聯(lián)的新補充標(biāo)簽。刪除軟件產(chǎn)品后，將刪除與該產(chǎn)品相關(guān)的所有主標(biāo)識標(biāo)簽、補丁標(biāo)簽和補充標(biāo)簽。軟件標(biāo)識標(biāo)簽還可通過“標(biāo)簽類型”特性進(jìn)行擴展，用于表示自定義的標(biāo)簽類型。9標(biāo)簽相關(guān)性9.1相關(guān)性描述軟件產(chǎn)品通常由多個相互相關(guān)的組件組成。相關(guān)軟件組件可通過不同的軟件標(biāo)識標(biāo)簽進(jìn)行標(biāo)識。為了描述組件之間的相關(guān)性，軟件標(biāo)識標(biāo)簽將相關(guān)性信息描述為依賴關(guān)系、組成關(guān)系和補丁關(guān)系。9.2依賴關(guān)系標(biāo)識標(biāo)簽所描述軟件依賴的其它軟件，應(yīng)包含對依賴軟件標(biāo)簽的引用。9.3組成關(guān)系標(biāo)識標(biāo)簽描述的軟件是由哪些組件軟件組成的，應(yīng)包含對組件軟件標(biāo)簽的引用。9.4補丁關(guān)系標(biāo)識標(biāo)簽描述的補丁或修復(fù)應(yīng)用于哪個軟件，應(yīng)包含對所應(yīng)用軟件標(biāo)簽的引用。通過相關(guān)性描述，可以構(gòu)建出軟件系統(tǒng)的完整層次關(guān)系模型。8T/CSAC002—202410