{"id":17818,"date":"2026-08-04T01:01:36","date_gmt":"2026-08-04T08:01:36","guid":{"rendered":"https:\/\/www.omnitrust.com\/blog\/cbom-lens-gibt-das-cyclonedx-1-7-kryptografie-register-aus\/"},"modified":"2026-09-28T21:09:23","modified_gmt":"2026-09-29T04:09:23","slug":"cbom-lens-gibt-das-cyclonedx-1-7-kryptografie-register-aus","status":"publish","type":"post","link":"https:\/\/www.omnitrust.com\/de\/blog\/cbom-lens-gibt-das-cyclonedx-1-7-kryptografie-register-aus\/","title":{"rendered":"CBOM Lens gibt das CycloneDX-1.7-Kryptografie-Register aus"},"content":{"rendered":" \n

TL;DR:<\/strong> CBOM Lens 1.1.0 gibt das CycloneDX-1.7-Kryptografieregister aus. Soweit wir wissen, ist es der erste CBOM-Producer, der dies tut. Au\u00dferdem wurden ein Windows-Registry-Scanner und vollst\u00e4ndig offline arbeitende Schemavalidierung erg\u00e4nzt.<\/p> \n\r\n

\u00a0<\/div>\r\n\r\n
\n

Bei einer geschlossenen Aufz\u00e4hlung macht ein einziger falscher Wert das gesamte Dokument ung\u00fcltig. Daher l\u00e4sst CBOM Lens Werte weg, die es nicht belegen kann, statt zu raten, nur um vollst\u00e4ndig zu wirken.<\/p> \n<\/div>\r\n\r\n

\u00a0<\/div>\r\n \n

Eine Cryptographic Bill of Materials ist nur so n\u00fctzlich, wie sie vertrauensw\u00fcrdig ist. Meldet das Inventar beispielsweise eine bestimmte Kurve, w\u00e4hrend ein Dienst tats\u00e4chlich eine andere verwendet, ist jeder darauf aufbauende Migrationsplan falsch. Deshalb ist bei einem CBOM-Tool nicht die interessante Frage, wie viel es meldet. Entscheidend ist vielmehr, wie es sich verh\u00e4lt, wenn es etwas nicht wei\u00df.<\/p> \n \n

CycloneDX 1.7 hat diese Frage versch\u00e4rft. CycloneDX<\/a> erg\u00e4nzte zwei registergest\u00fctzte Felder zu algorithmProperties<\/code>: algorithmFamily<\/code> und ellipticCurve<\/code>. Beide sind geschlossene Aufz\u00e4hlungen \u2014 93 Familien und 246 Kurven. Ein Wert au\u00dferhalb des Vokabulars verschlechtert ein Dokument daher nicht nur; er macht es ung\u00fcltig.<\/p> \n \n

CBOM Lens<\/a> 1.1.0 schreibt beide Felder. Soweit wir feststellen k\u00f6nnen, ist es der erste CBOM-Producer, der das Kryptografieregister von 1.7 ausgibt. Die Belege f\u00fcr diese Aussage stehen im Anhang zur Register\u00fcbernahme des Repositorys \u2013 einschlie\u00dflich einer Methode, um sie zu widerlegen. Falls Sie einen fr\u00fcheren Producer kennen, m\u00f6chten wir davon erfahren.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Warum das Register die Disziplin ver\u00e4ndert<\/h2> \n \n

Vor 1.7 waren die Familie und die Kurve eines Algorithmus Freitext. Ein Producer konnte beliebige Werte schreiben und trotzdem schemakonform bleiben. Dokumente lie\u00dfen sich dadurch leicht erzeugen, aber schwer vergleichen. Zwei Tools konnten denselben Schl\u00fcssel beispielsweise auf drei verschiedene Arten beschreiben.<\/p> \n \n

Registergest\u00fctzte Felder l\u00f6sen das Vergleichsproblem. Gleichzeitig erh\u00f6hen sie die Kosten eines Fehlers. Ein Producer, der einen gescannten String ungepr\u00fcft weitergibt, wird irgendwann einen Wert au\u00dferhalb des zul\u00e4ssigen Vokabulars ausgeben. Dann schl\u00e4gt die Validierung des gesamten Dokuments fehl.<\/p> \n \n

CBOM Lens arbeitet deshalb mit vollst\u00e4ndigen Mapping-Tabellen und l\u00e4sst einen Wert bei fehlender Zuordnung weg. Nichts wird ungepr\u00fcft durchgereicht. In der Praxis bleiben manche Felder leer, wo ein weniger sorgf\u00e4ltiges Tool einen Wert anzeigen w\u00fcrde. Wir halten das dennoch f\u00fcr den richtigen Kompromiss.<\/p> \n \n

Das deutlichste Beispiel sind Kurven, die nur abgeleitet werden k\u00f6nnten. Nehmen wir eine Kurve, die aus einem Signature Digest geraten oder von einem anderen Zertifikat am selben Port \u00fcbernommen wird. Beides klingt plausibel und bleibt dennoch bewusst ohne Zuordnung. Beide Vermutungen sind plausibel. Keine davon ist ein Beleg.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Post-Quantum-Algorithmen werden erkannt, nicht angenommen<\/h2> \n \n

Dieselbe Disziplin gilt f\u00fcr Post-Quantum-Berichte. Gerade dort ist die Versuchung f\u00fcr Inventarisierungswerkzeuge am gr\u00f6\u00dften, mehr Sicherheit vorzugeben als vorhanden.<\/p> \n \n

CBOM Lens erkennt sechs Familien anhand ihrer Object Identifiers. Es handelt sich um ML-DSA (FIPS 204), SLH-DSA (FIPS 205, alle zw\u00f6lf Parameters\u00e4tze), ML-KEM (FIPS 203), XMSS, XMSS-MT und HSS-LMS. F\u00fcr jede werden Schl\u00fcsselgr\u00f6\u00dfen, Signaturgr\u00f6\u00dfen und NIST-Sicherheitskategorien aus den Standards \u00fcbernommen. Zudem steht die Quellenangabe direkt neben dem Wert im Quellcode.<\/p> \n \n

Zwei Auslassungen zeigen, dass diese Regel funktioniert. Stateful hash-based signatures erhalten kein Quantum Security Level, weil SP 800-208 ihnen keines zuweist. HQC und FN-DSA werden \u00fcberhaupt nicht behauptet, weil ihnen noch kein Object Identifier zugewiesen wurde. Ein Tool, das sie trotzdem meldet, w\u00fcrde eine Erkennung erfinden.<\/p> \n \n

\n
\n

Wo keine ma\u00dfgebliche Quelle existiert, wird das Feld weggelassen, statt etwas zu erfinden.<\/p> \n<\/blockquote> \n<\/figure> \n\r\n

\u00a0<\/div>\r\n \n

Was au\u00dferdem in 1.1.0 enthalten ist<\/h2> \n \n

Zwei weitere \u00c4nderungen sind operativ wichtig.<\/p> \n \n

Erstens: ein Windows-Registry-Scanner. Die Scanner f\u00fcr Dateisystem, Container und Netzwerk deckten Linux-Umgebungen bereits gut ab. Unter Windows liegt kryptografische Konfiguration jedoch h\u00e4ufig in der Registry statt in Dateien. Deren Scan schlie\u00dft eine echte Transparenzl\u00fccke in gemischten Umgebungen.<\/p> \n \n

Zweitens ist die Validierung jetzt vollst\u00e4ndig offline und strikt. Die SPDX- und JSF-Unterschemata sind eingebettet, sodass ein Dokument ohne Netzwerkzugriff validiert werden kann. Das ist f\u00fcr Scans in Air-Gapped-Umgebungen wichtig. Zugleich entf\u00e4llt ein Fehlerfall, bei dem die Validierung unbemerkt schlechter wurde, weil ein entferntes Schema nicht erreichbar war.<\/p> \n \n

\n \n \n \n \n \n \n \n \n \n
Funktion<\/th> \nDetails<\/th> \n<\/tr> \n<\/thead> \n
Scan-Ziele<\/td> \nDateisystem, Container-Images aus Docker oder Podman, Netzwerkports \u00fcber nmap mit TLS- und SSH-Erkennung und jetzt auch die Windows Registry<\/td> \n<\/tr> \n
Ausgabe<\/td> \nCycloneDX CBOM 1.6 oder 1.7; 1.6 bleibt Standard- und Kompatibilit\u00e4tsformat<\/td> \n<\/tr> \n
Korrelation<\/td> \nInhaltsbasierte bom-ref<\/code>-Bezeichner, sodass dasselbe Asset \u00fcber verschiedene Quellen hinweg \u00fcbereinstimmt<\/td> \n<\/tr> \n
Betriebsmodi<\/td> \nEinmalige manuelle L\u00e4ufe, Timer-Modus mit cron- oder ISO-8601-Dauern und von ILM Core verwaltete Discovery<\/td> \n<\/tr> \n
Ziel<\/td> \nOptionaler Upload in ein CBOM Repository oder Nutzung durch eine andere Anwendung<\/td> \n<\/tr> \n<\/tbody> \n<\/table> \n
Funktionen von CBOM Lens ab Version 1.1.0.<\/figcaption> \n<\/figure> \n \n

Die Auswahl von 1.7 ist eine Konfigurations\u00e4nderung: Setzen Sie die CBOM-Version auf 1.7<\/code>. Da 1.6 weiterhin Standard bleibt, \u00e4ndert ein Upgrade des Tools Ihr Ausgabeformat erst dann, wenn Sie dies ausdr\u00fccklich anfordern.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Wie dies zu ILM passt<\/h2> \n \n

CBOM Lens erzeugt das Inventar. Ein CBOM Repository speichert und durchsucht es. ILM nutzt es. Denn ein Inventar wird erst dann handlungsrelevant, wenn es neben den Zertifikaten und Schl\u00fcsseln steht, die es beschreibt.<\/p> \n \n

Beide Tools sind Open Source und funktionieren unabh\u00e4ngig voneinander. Sie k\u00f6nnen CBOM Lens allein ausf\u00fchren, auf ein Repository richten und den Rest der Plattform niemals verwenden. Dennoch ist es die Kombination, durch die ein Inventar aufh\u00f6rt, nur ein Bericht zu sein, und beginnt, Entscheidungen zu steuern.<\/p> \n \n

Wir ver\u00f6ffentlichen dies teils, um Aufmerksamkeit zu schaffen, und teils, um Pr\u00fcfung einzuladen. Das 1.7-Register ist neu und die Nutzung noch gering. Eine geschlossene Aufz\u00e4hlung belohnt au\u00dferdem sorgf\u00e4ltige Tools und bestraft selbstsichere. Wenn Sie einen CBOM-Producer bauen, lohnt es sich, \u00fcber Mapping-Tabellen und Auslassungsregeln zu diskutieren.<\/p> \n\r\n

\u00a0<\/div>\r\n
\r\n
\u00a0<\/div>\r\n\r\n
\n

Wichtigste Erkenntnisse<\/h3> \n\r\n\r\n \n