CycloneDX vs SPDX

Stručná odpověď

Používejte formát, který po vás chtějí zákazníci, regulátoři nebo vaše nástroje. Pokud o žádný nežádají, pro bezpečnostní práci se častěji volí CycloneDX, protože nativně nese VEX, a tam, kde je na prvním místě soulad s licencemi, se častěji volí SPDX. Většina generátorů, včetně CRACI, umí vytvořit oba.

Vedle sebe

CycloneDX

CycloneDX vyvíjí OWASP Foundation a organizace Ecma International jej standardizovala jako ECMA-424. Verze 1.7 vyšla v říjnu 2025. Vychází z bezpečnosti a rizik dodavatelského řetězce a pokrývá víc než jen software: SBOM, SaaSBOM pro služby a HBOM pro hardware. Podporuje VEX, takže tentýž formát může uvést, zda se zranitelnost produktu týká. Serializuje se jako JSON, XML nebo Protocol Buffers.

SPDX

SPDX je open source projekt hostovaný Linux Foundation a uznaný jako mezinárodní norma ISO/IEC 5962:2021. Vychází ze souladu s licencemi a jeho identifikátory licencí se používají daleko za hranicemi SBOM. SPDX 3.0, vydaný v dubnu 2024, přidal profily pro bezpečnost, build, datové sady a AI.

Video: základy SBOM

Z naší přednášky na KCD Helsinki: co SBOM zaznamenává, jak se SPDX a CycloneDX liší v praxi a co přidává OpenVEX.

5:15

Co přijímají regulátoři

Evropský Cyber Resilience Act požaduje SBOM v „běžně používaném a strojově čitelném formátu“ a žádný konkrétní nejmenuje. Německá směrnice BSI TR-03183-2, verze 2.1.0, je konkrétnější: CycloneDX 1.6 nebo vyšší, nebo SPDX 3.0.1 nebo vyšší, ve formátu JSON nebo XML. Viz požadavky CRA na SBOM.

Na formátu záleží méně než na obsahu

Oba formáty mohou obsahovat neúplnou SBOM. O užitečnosti SBOM rozhoduje to, zda uvádí vše, co se do produktu dostalo, včetně tranzitivních závislostí. CRACI zaznamenává SBOM během vašeho buildu v GitHub Actions, uvádí její úplnost pro každý job a každou cache a exportuje ji v CycloneDX nebo SPDX. Viz generování SBOM z doby buildu. Obsah souboru v kterémkoli formátu zkontrolujete pomocí kontrolního seznamu kvality SBOM.

CycloneDX vs SPDX: časté dotazy

Je lepší CycloneDX, nebo SPDX?

Obecně není lepší ani jeden. CycloneDX vznikl z bezpečnostních potřeb a nativně nese VEX; SPDX vznikl z oblasti souladu s licencemi a je normou ISO. Většina nástrojů umí vytvořit oba. Zvolte ten, který po vás chtějí zákazníci, regulátoři nebo vaše nástroje.

Jaký formát SBOM vyžaduje evropský Cyber Resilience Act?

CRA požaduje běžně používaný, strojově čitelný formát a žádný konkrétní nejmenuje. Německá směrnice BSI TR-03183-2 přijímá CycloneDX 1.6 nebo vyšší a SPDX 3.0.1 nebo vyšší, ve formátu JSON nebo XML.

Lze převádět mezi CycloneDX a SPDX?

Existují nástroje pro převod oběma směry, formáty si však neodpovídají jedna ku jedné, takže převod může ztratit podrobnosti. Pokud můžete, generujte potřebný formát přímo.

Exportuje CRACI CycloneDX, nebo SPDX?

Oba. CRACI zaznamenává SBOM během vašeho buildu v GitHub Actions a exportuje ji v CycloneDX nebo SPDX, včetně tranzitivních závislostí a deklarované licence každé komponenty.