[B! SPDX] ra1gawaのブックマーク

マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開

マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開マイクロソフトは、ビルド時にそのソフトウェアがどのようなソフトウェア部品から構成されているかを示すデータ「SBOM」を生成してくれるツール「SBOM Tool」を、オープンソースで公開しました。 SBOMによるサプライチェーンリスクの解決 SBOMとはSoftware Bill Of Materialsの頭文字をとったもので、日本語では「ソフトウェア部品表」とされます。あるソフトウェアがどのようなソフトウェア部品によって構成されているのかを示す情報がまとまったデータのことです。ほとんどのソフトウェアは単独で成立しているわけではなく、多数のライブラリやコンポーネントなどのソフトウェア部品に依存しています。そのなかのいずれかに脆弱性が発見されればドミノ倒しのように他のさまざま

ra1gawa 2022/07/22

リンク

SPDX : すでに世界共通のソフトウェア部品表 (SBOM) およびサプライチェーンセキュリティで使用 - The Linux Foundation

本ブログは、SPDX: It’s Already in Use for Global Software Bill of Materials (SBOM) and Supply Chain Security の参考訳です。著者 : The Linux Foundation、ディペンダブルシステム担当 VP Kate Stewart Linux Foundationの以前のブログにおいて、LF Supply Chain SecurityのディレクターDavid A. Wheelerは、どのようにすればLinux Foundationコミュニティが構築した一連の機能を使用して、サイバーセキュリティに関する米国大統領令の定めるソフトウェアのサプライチェーンセキュリティ要件に対応できるかについて説明しています。これらの機能の1つであるSPDXは、ソフトウェア部品表(SBOM)に関する大統領

ra1gawa 2021/07/09

SBOM
SPDX

リンク

SPDX License List | Software Package Data Exchange (SPDX)

SPDX License List The SPDX License List is an integral part of the SPDX Specification. The SPDX License List itself is a list of commonly found licenses and exceptions used in free and open or collaborative software, data, hardware, or documentation. The SPDX License List includes a standardized short identifier, the full name, the license text, and a canonical permanent URL for each license and e

ra1gawa 2021/05/21

リンク

Software Package Data Exchange - Wikipedia

Software Package Data Exchange（SPDX）[2]は、Linux Foundationの傘下のプロジェクトである[3]。SPDX プロジェクトは、組織がソフトウェアライセンスやBills of material（BOM、部品表、ソフトウェア構成表ともいう）に関するメタデータのオープンスタンダードを策定し[4]、関連するフォーマットなどを円滑に利用するためのSPDX のオンラインツールなども整備している。この仕様・規格[5]の現在のバージョンは2.2で、2022年8月に承認された[6]。またこのSPDXフォーマットの仕様はISO/IEC 5962:2021として 2021年に国際標準化された[7]。 SPDXは、ソフトウェアがライセンスを曖昧さなく判別できるようにSPDX-Identifierを定義している[8]。また、ライセンスをタイプ別に分類しようとはしておら

ra1gawa 2021/05/21

SBOM
SPDX

リンク

SPDX license identifiers ってなんだ。 | クラウド・AWSのIT技術者向けブログ SKYARCH BROADCASTING

SPDX license identifiers ってなんだ。ちょっと訳があって、git のログを見てたら以下のようなエントリがあった。1 hrtimers/tick/clockevents: Remove sloppy license references “For licencing details see kernel-base/COPYING” and similar license references have no value over the SPDX identifier. Remove them.