CBOM 是 Certificate Bill of Materials（证书物料清单）的缩写。

这一概念借鉴了软件行业的 SBOM (Software Bill of Materials)，并将其核心思想应用于组织内部由数字证书和加密资产组成的复杂环境。

基本定义

CBOM 是一份正式、机器可读的清单，列出组织 IT 基础设施中使用的数字证书（TLS/SSL、代码签名、S/MIME、客户端身份验证等）、加密密钥，有时还包括相关加密资产（例如受信任的根 CA）。

可以将它理解为组织证书环境的完整“材料清单”。

CBOM 的关键组成

全面的 CBOM 通常会为每张证书记录：

1. 标识信息：序列号、指纹、签发者和主题（Common Name、SAN）。
2. 加密详情：密钥算法（RSA、ECC）、密钥长度和签名算法。
3. 有效期：签发日期和到期日期。
4. 用途与策略：密钥用途（加密、签名）和 Extended Key Usage（Server Auth、Client Auth、Code Signing）。
5. 位置与负责人：安装所在的服务器、设备或应用（IP、主机名），以及负责管理的人员或团队。
6. 签发者与证书链：签发 CA（公共、私有或内部）和完整信任链。
7. 状态：有效、过期、已撤销或即将过期。

CBOM 为何重要？

现代 IT 环境中有成千上万张证书，由不同 CA 签发，并分布在云端、本地系统和 IoT 设备中。这会带来多种问题：

• 服务中断风险：负载均衡器、VPN 或数据库等关键服务器上的证书意外过期，可能导致严重服务中断。
• 安全漏洞：弱加密算法（例如 SHA-1、1024 位 RSA）、已泄露密钥或不受信任 CA 签发的证书会形成安全缺口。
• 缺乏可见性与治理：许多组织并不清楚自己有多少证书、证书在哪里、何时到期。CBOM 可帮助解决这一核心问题。
• 合规挑战：PCI DSS、NIST、FIPS 和 GDPR 等标准要求严格管理加密材料。CBOM 对证明合规情况至关重要。

如何创建和使用 CBOM

CBOM 通常不是手动制作的，而是由专用工具生成和维护：

1. 证书发现工具与生命周期管理 (CLM) 平台：PKI Trust Manager 和 Trust Cloud 等工具可自动扫描网络、端点和云环境，发现证书并生成实时、动态的 CBOM。
2. 处理流程：工具收集证书元数据、识别其位置和状态，并随着环境变化持续更新清单。

与 SBOM 的类比

SBOM 列出应用使用的软件组件；CBOM 则列出组织的证书和加密资产。

维护 CBOM 的优势

• 更清晰地掌握证书清单。
• 降低证书意外过期导致服务中断的风险。
• 更好地管理加密算法和密钥。
• 简化审计及合规证明。
• 为续期计划和后量子密码迁移提供依据。

结论

CBOM 帮助组织了解并管理证书环境。配合证书发现、生命周期自动化和适当治理，可以降低风险并提升运维准备度。