CBOM signifie Certificate Bill of Materials (liste des matériaux de certificats).

Le concept s’inspire du SBOM (Software Bill of Materials) du secteur logiciel et applique son principe à l’écosystème complexe des certificats numériques et des actifs cryptographiques d’une organisation.

Définition fondamentale

Une CBOM est un inventaire formel lisible par machine répertoriant tous les certificats numériques (TLS/SSL, signature de code, S/MIME, authentification client, etc.), les clés cryptographiques et parfois les actifs associés, comme les CA racines de confiance, utilisés dans l’infrastructure informatique d’une organisation.

On peut la considérer comme un inventaire complet des composants de l’environnement de certificats de l’organisation.

Éléments clés d’une CBOM

Pour chaque certificat, une CBOM complète contient généralement :

1. Identification : numéro de série, empreinte, émetteur et sujet (Common Name, SAN).
2. Détails cryptographiques : algorithme de clé (RSA, ECC), longueur de clé et algorithme de signature.
3. Période de validité : date d’émission et date d’expiration.
4. Usage et politique : usage de la clé (chiffrement, signature) et Extended Key Usage (Server Auth, Client Auth, Code Signing).
5. Emplacement et responsable : serveur, appareil ou application d’installation (IP, nom d’hôte), responsable et équipe de gestion.
6. Émetteur et chaîne : CA émettrice (publique, privée ou interne) et chaîne de confiance complète.
7. Statut : actif, expiré, révoqué ou bientôt expiré.

Pourquoi une CBOM est-elle importante ?

Les environnements informatiques modernes comprennent des milliers de certificats, émis par différentes CA et répartis entre le cloud, les systèmes sur site et les appareils IoT. Cela entraîne plusieurs risques :

• Risque d’interruption : l’expiration inattendue d’un certificat sur un serveur critique, comme un équilibreur de charge, VPN ou base de données, peut provoquer une panne majeure.
• Vulnérabilités de sécurité : des standards cryptographiques faibles (par exemple SHA-1 ou RSA 1024 bits), des clés compromises ou des certificats de CA non fiables créent des failles.
• Manque de visibilité et de gouvernance : beaucoup d’organisations ignorent combien de certificats elles ont, où ils se trouvent et quand ils expirent. Une CBOM répond à ce manque de visibilité.
• Défis de conformité : PCI DSS, NIST, FIPS et GDPR exigent une gestion rigoureuse des éléments cryptographiques. Une CBOM aide à démontrer la conformité.

Comment créer et utiliser une CBOM

Les CBOM ne sont pas créées manuellement ; elles sont générées et maintenues à l’aide d’outils spécialisés :

1. Outils de découverte et plateformes CLM : des outils comme PKI Trust Manager et Trust Cloud analysent automatiquement réseaux, endpoints et environnements cloud pour découvrir les certificats et générer une CBOM dynamique à jour.
2. Processus : les outils collectent les métadonnées des certificats, identifient leur emplacement et leur statut, puis mettent l’inventaire à jour avec les changements de l’environnement.

Analogie avec le SBOM

Un SBOM répertorie les composants logiciels d’une application ; une CBOM répertorie les certificats et actifs cryptographiques d’une organisation.

Avantages d’une CBOM à jour

• Meilleure visibilité de l’inventaire des certificats.
• Réduction des interruptions dues aux expirations imprévues.
• Meilleur contrôle des algorithmes et clés cryptographiques.
• Audits et démonstration de conformité simplifiés.
• Base pour planifier les renouvellements et la migration post-quantique.

Conclusion

Une CBOM aide les organisations à comprendre et gérer leur environnement de certificats. Associée à la découverte, à l’automatisation du cycle de vie et à une gouvernance adaptée, elle réduit les risques et améliore la préparation opérationnelle.