[論文レビュー] Challenges of Producing Software Bill Of Materials for Java

Musard Balliu, Benoît Baudry+8 more|arXiv (Cornell University)|Mar 20, 2023

Manufacturing Process and Optimization参考文献 11被引用数 5

ひとこと要約

この論文は、Javaエコシステムにおける6つのSBOMツールを評価し、ツール間で依存関係の検出に顕著な不一致が生じていることを明らかにした。SBOMの正確性に関する深刻な課題として、非完全な推移的依存関係の追跡、一貫性の欠如するツールメタデータ、および限られたランタイム制御の実装が特定され、ソフトウェアサプライチェーンを保護するための標準的で信頼性の高いSBOM生成の必要性が強調された。

ABSTRACT

Software bills of materials (SBOM) promise to become the backbone of software supply chain hardening. We deep-dive into 6 tools and the accuracy of the SBOMs they produce for complex open-source Java projects. Our novel insights reveal some hard challenges for the accurate production and usage of SBOMs.

研究の動機と目的

• 複数のツールにおけるJavaエコシステムでのSBOM生成の正確性と一貫性を評価すること。
• 直接的および推移的依存関係、ビルドツールなど、ソフトウェアサプライチェーンの完全で正確なコンponentsを捉える際の体系的課題を特定すること。
• SBOMを用いた自動化された脅威分析およびランタイム制御の実現可能性を評価すること。
• チェックサム、外部リファレンス、ライセンスメタデータなどの重要なSBOM属性のサポートを検討すること。
• 企業のソフトウェアサプライチェーンにおけるSBOM標準およびツール品質の向上に実証的根拠を提供すること。

提案手法

• 26の活発なオープンソースJavaプロジェクトに対して、成熟したかつ継続的にメンテナンスされている6つのSBOM生成ツールを評価した。
• 同じプロジェクト群に対して各ツールを実行し、同一の条件下でのSBOM出力を比較した。
• 手作業による分析を実施し、ツール間での依存関係リスト、チェックサム、メタデータの妥当性と相互検証を実施した。
• SBOM表現および比較の共通基準として、CycloneDXフォーマットを用いた。
• 直接的および推移的依存関係、ビルドツール、外部リファレンスの捕捉の完全性を分析した。
• ハッシュ、ライセンス、外部リファレンスなどのセキュリティ的に重要な属性のサポートを評価した。

実験結果

リサーチクエスチョン

• RQ1 同じJavaプロジェクトにおいて、SBOM生成ツール同士が同一の直接的および推移的依存関係をどれほど一貫して特定しているか。
• RQ2 アプリケーションライブラリ以外のビルドおよびツール依存関係（例：CI/CDツール、テストフレームワーク）を、どの程度の割合でSBOM生成ツールが捉えているか。
• RQ3 バイナリ依存関係のチェックサムおよびバージョン情報は、どの程度正確に記録されているか。
• RQ4 依存関係およびツールの外部リファレンスおよびプロバンセンスメタデータに関するSBOMのギャップは何か。
• RQ5 自動化された脅威モデリング、脆弱性検出、ランタイムアクセス制御にSBOMを使用する際に、どのような課題が障害となっているか。

主な発見

• 同じJavaプロジェクトに対して、異なるSBOM生成ツールが顕著に異なる依存関係リストを出力しており、現行のツールリングにおける一貫性と信頼性の欠如が示された。
• 多くのツールが、深いネスト構造の依存関係グラフにおいて推移的依存関係を正確に捉えられておらず、問題が生じていた。
• チェックサムが一貫して生成されない、あるいは欠落しているケースが多く、SBOMの整合性と再現性が損なわれていた。
• CI/CDツールやテストフレームワークなどのビルドおよびツール依存関係の文書化に対するサポートは、ツール間で最小限かつ一貫性がなく、不十分であった。
• ソースリポジトリやライセンスへの外部リファレンスが、しばしば不完全または欠落しており、監査およびコンプライアンス用途におけるSBOMの有用性が低下していた。
• 本研究では、不完全で正確性に欠けるデータが原因で、現行のSBOMが自動化された脅威分析およびランタイム制御に不十分であることが明らかになった。