软件标识化标签技术指南征求意见稿

1T/CSACxxx—2024软件标识化标签技术指南本文件规定了软件标识化标签的功能、通用结构、必要的元数据字段以及处理规则。软件标识化标签提供了标识和描述软件产品的必要且充分的元数据，包含有关软件组织、许可、安装等方面的信息。本文件适用于软件标识化标签的各种应用领域，有助于支持各种软件管理活动。软件标识化标签可以独立使用，也可以集成到软件物料清单中。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T11457-2006信息技术软件工程术语GB/T25069—2022信息安全技术术语GB/T36475-2018软件产品分类GB/T36637—2018信息安全技术ICT供应链安全风险管理指南GB/T43698—2024网络安全技术软件供应链安全要求3术语和定义GB/T43698-2024中定义的以及下列术语和定义适用于本文件3.1软件产品softwareproduct计算机软件、信息系统或设备中嵌入的软件或在提供计算机信息系统集成、应用服务等技术服务时提供的计算机软件。[来源：GB/T43698——2024，3.1]3.2软件标识SoftwareIdentification一个包含基本元素、可选元素和扩展元素的用于识别软件产品的描述文件。[GB/T36328-2018,定义3.1，有修改]3.3软件标识化标签SoftwareIdentifierTag用于标识和描述单个软件产品的元数据集合。3.42T/CSACxxx—2024元素Element支配类型的值或支配信息客体类别的信息客体，能分别从相同类型或相同类别信息客体的所有他值中区别出来。[GB/T16262.1-2006,定义3.6.19]4缩略语下列缩略语适用于本文件。API应用程序编程接口（ApplicationProgrammingInterface）SWID软件标识化标签（SoftwareIdentification）URI统一资源描述符（UniformResourceIdentifier）XML扩展标记语言（ExtensibleMarkupLanguage）XpathXML路径语言（XMLPathLanguage）XSDXML模式定义（XMLSchemaDefinition）5软件标识化标签5.1概述软件标识化标签提供了标识和描述软件所需的元数据。这些元数据可支持各种软件管理活动，如清单生成、许可证确认、漏洞管理、配置管理等。软件标识化标签包含如名称、版本、发布者等软件的基本识别信息。标签还可以包含其他有用信息，如文档位置、安装说明等。标签中的元数据旨在准确、独特地标识软件。一个核心的设计原则是软件标识化标签应仅包含标识软件所需的最小必要信息。额外的非识别信息可以通过引用的方式包含进来，而不是直接集成到标签中。这可以使软件标识化标签保持简洁。不同的软件可以根据需要选择使用标签的子集或扩展。标签可以通过多种格式来表达，如XML、JSON等。不管采用何种表达格式，都应该遵循本标准中对标签内容和语义的规定。软件标识化标签旨在独立存在，也可以嵌入到更大的软件识别结构中。例如，它可以集成在软件清单或者其他软件关系描述文件中。这使软件标识化标签可以灵活地应用到各种不同场景。5.2总体结构软件标识化标签可以包含以下类型的信息：a)标识软件所需的基本元数据(见6.2)b)可选的补充描述性元数据(见6.3)c)元数据完整性检查机制，如数字签名(见8.4)软件标识化标签采用层次化的结构组织这些信息。最基本的一级包含用于标识软件所需的基本元数据。第二级和后续级别包含额外的描述性元数据。每一级都可以通过引用的方式添加进标签。5.3基本元数据软件标识化标签要求必须包含以下基本元数据：a)软件标识化标签的唯一标识符3T/CSACxxx—2024b)软件名称c)软件版本d)软件部分号(可选)e)软件供方f)软件供方标识(可选)这些元数据代表了标识软件所需的最小必要信息。5.4补充描述性元数据除基本元数据外，软件标识化标签还可以包含多种可选的补充描述性元数据，比如：a)标签类型(软件产品或补丁等)b)文档信息c)许可证信息d)安装说明e)软件依赖关系f)补丁/升级信息g)运行环境信息补充元数据可以以引用的形式包含在软件标识化标签中。这避免标签本身变得过于复杂冗长。6软件标识化标签内容6.1名称此元数据识别软件产品的通常名称。例如“AcmeWordProcessor”。名称应具有足够的特定性以准确标识软件产品。过于通用的名称如“文件编辑器”应避免使用。6.2版本此元数据标识软件产品的准确版本。版本通常由以下元素组成：a)主版本号：产品版本系列中主要版本的编号。b)次版本号：主版本下的次要版本编号。c)修订号：小的修改和缺陷修复版本编号。d)构建号：完整识别构建或编译的唯一标识符。例如：“6543”，应尽可能全面清晰以准确区分不同软件产品版本。6.3软件部件号对于由多个部件或文件组成的软件产品，可标识特定部分或组件的编号。部分号与产品版本号组合，可以准确定位软件组成部分。6.4软件供方此元数据标识负责提供软件产品的组织，应使用组织的正式名称。例如：“AcmeSoftwareInc.”4T/CSACxxx—20246.5供方标识符此可选元数据包含标识软件供方的唯一标识字符串。标识方式应参考ISO/IEC19770-1中对供方标识的相关规定。6.6标签标识符此唯一标识符用于标识特定的软件标识化标签实例。标识符的格式应符合ISO/IEC19770-1中对唯一标识符的定义。标识符应尽可能简洁。7软件标识化标签处理7.1标签创建软件供方应该在软件产品发布时创建一个包含基本元数据的软件标识化标签。在软件生命周期的后续阶段，可以根据需要通过添加补充元数据来扩展和增强标签。7.2标签聚合对于由多个组件组成的软件产品，应该为每个组件创建软件标识化标签，然后这些组件级标签可以聚合到产品级软件标识化标签中。产品级标签将包含对组件标签的引用。7.3标签共享软件供方应该通过软件包或软件目录等方式共享软件标识化标签，以便标签可以和软件产品一起传递给最终用户。7.4标签完整性校验软件供方可以通过数字签名或哈希校验等机制来保护软件标识化标签的完整性，这可以防止标签被意外或恶意修改。7.5标签解析接收到软件标识化标签的实体应该能解析并处理标签中的元数据。解析过程需要检验标签的完整性和有效性。7.6标签存储解析后的软件标识化标签可以存储于资产管理系统、清单数据库等仓库中，以供后续管理和报告使8标签类型软件标识化标签可以应用于多种不同的软件实体。本规范定义了五种类型的软件标识化标签：安装5T/CSACxxx—2024包标识标签、主标识标签、补丁标识标签和补充标签。安装包标签、主标签和补丁标签具有相似的功能，因为它们描述了不同类型软件的存在和/或存在，以及可能的软件产品的不同状态。文件集标签标识相关文件集合，补充标签以补充方式为已存在的软件标识化标签提供额外元数据。8.1安装包标签安装标签提供有关软件分发的信息，例如有关其包含的文件的信息。该信息可用于在软件部署期间验证软件分发的完整性和/或真实性。在安装软件之前，通常以软件安装包的形式将其交付或以其他方式提供给计算设备。安装包包含处于预安装状态的软件，通常以某种方式压缩。安装包的常见格式包括TAR和ZIP文件，以及“自解压”可执行文件。在所有情况下，必须运行安装过程，以使安装包中包含的软件解包并部署到目标设备上。本规范为软件供方定义了安装包标签，用于识别和描述处于这种预安装状态的产品。软件安装包的软件标识和描述信息的可用性使得能够验证软件包并验证发布软件包的组织。安装包标签旨在用作软件安装工具和过程的输入；作为安装过程的一部分，它们不会安装在设备上。安装包标签可由安装工具用于验证可安装产品的完整性，并在执行安装程序之前验证安装包的发行者。如果安装包标签中包含安装文件清单，如果有效负载数据和实际文件不匹配，则可以检测到安装包篡改，并中止安装过程。当与其他许可数据相结合时，安装包标签可以帮助消费者在安装产品之前确认他们是否拥有产品的有效许可。8.2主标识标签用于标识软件产品发行版的标准软件标识化标签。此类标签包含对产品名称、版本、软件供方等的核心识别元数据。主标签提供有关已安装或修补的软件产品的特定信息（例如，产品命名信息、软件创建者、预期包含的文件列表）。每个标记产品的主标签需要提供“强制性”的所有数据元素的值。最小主标签提供产品名称（作为字符串）、标签的唯一标识符以及标识标签创建者的基本信息。理想情况下，软件供方也是该产品主要标签的创建者；然而，其他方（包括自动化工具）在软件供方拒绝为产品创建标签或将此责任委托给另一方的情况下也可为产品创建标记。标签创建者的替代角色包括聚合、分发和许可软件产品的组织和个人。全局唯一的标签标识符在许多使用场景中是重要的信息，因为它可以用作软件安装的全局唯一的代理标识符。主标签的标签标识符可以被认为是标记产品的代理标识符，因为主标签与其所标识的已安装软件之间存在一对一的关系。为了提高处理效率，库存和发现工具可以选择仅使用标签标识符而不是完全填充的主标签来识别和报告标记产品。当产品升级时，与旧版本关联的主标记将被删除，并替换为新版本的主标记。当产品从设备中移除时，其主要标签也会被移除。通过严格维护已安装软件和相关标签之间的一对一关联，可以使用软件标识化标签数据持续监控已安装软件库存并跟踪软件更新。8.3补丁标识标签6T/CSACxxx—2024用于标识修补已发布软件产品缺陷和漏洞的补丁或修复的标签。此类标签应引用所应用的软件产品及其版本。补丁标签提供有关软件补丁的特定信息，软件补丁一般被用于纠正产品中的错误或为产品添加新功能。修补程序标签提供有关修补程序对修补软件产品的安装足迹所做的更改的信息，包括添加、删除或更改的文件。软件提供商可以发布修补程序来纠正产品中的缺陷或为产品添加新功能。在设备上安装修补程序时，会对产品的安装足迹进行更改。由于修补程序扩充了现有安装，因此需要单独跟踪这些更改。补丁标签可以识别和描述每个补丁。安装修补程序后，将在设备上与修补产品相关的位置放置修补程序标签。当软件提供商未提供补丁标签时，发现工具可以创建补丁标签以指示补丁的先前应用。与补丁不同，升级被定义为完全替换产品的安装痕迹。升级通常会更改产品的版本号和/或发布详细信息。补丁标签中包含的数据元素标识和描述补丁，而不是应用补丁的产品。例如，修补程序标签中记录的产品名称和版本不需要与修补程序产品的主标签中所记录的产品名和版本匹配。相反，这些属性可以用来记录软件提供商分配的补丁的名称和版本。8.4文件集标识标签用于标识相关文件集合的标签，例如文档、帮助内容等。文件集标识标签应引用所应用的软件产品版本。8.5补充标签用于以补充方式为已存在的软件标识化标签提供额外元数据的标签。例如提供额外的许可或安装信息。应包含对所扩展的原标签的引用。补充标签提供了描述与其他标签相关的附加信息的机制，任何实体都可以出于任何目的创建补充标签。例如，可以通过自动化工具创建补充标签，以便用附加的特定站点信息（例如许可证密钥和本地负责方的联系信息）来扩充现有的主标签。补充标签旨在提供补充的数据值，该数据值与主标签和产品的任何其他补充标签提供的数据值不冲突。如果检测到冲突，则主标签中的数据（如果由软件生产者提供）被认为是最可靠的，并且可以期望工具忽略冲突数据或将所有冲突数据报告为异常。例如，记录在补充标签中的强制性产品名称应与记录在产品主标签中的产品名称相匹配；如果它们不同，则记录在主标记中的名称被视为首选名称。软件产品升级后，与产品升级前版本相关的所有主要标签、补丁和补充标签都将被删除。如果需要，可以部署与升级版本相关联的新补充标签。删除软件产品后，将删除与该产品相关的所有主要标签、修补程序标签和补充标签。软件标识化标签还可以通过“标签类型”特性进行扩展，用于表示自定义的标签类型。9标签相关性描述7T/CSACxxx—2024软件系统通常由多个相互相关的软件实体组成。相关软件实体可以通过不同的软件标识化标签进行标识。为了描述软件实体之间的相关性，软件标识化标签可以包含以下类型的相关性信息：9.1依赖关系标识标签所描述软件依赖的其它软件，应包含对依赖软件标签的引用。9.2组成关系标识标签描述的软件是由哪些组件软件组成的，应包含对组件软件标签的引用。9.3补丁关系标识标签描述的补丁或修复应用于哪个软件，应包含对所应用软件标签的引用。通过相关性描述，可以构建出软件系统的完整层次关系模型。10标签安全软件供方应采取加密和数据签名等安全机制来保护软件标识化标签的完整性和可验证性。10.1数字签名使用数字签名技术，软件供方可以对标签内容进行签名。这可以让软件需方验证标签的来源和完整性，防止标签在传输过程中被意外或恶意修改。10.2加密通过加密技术，软件供方可以加密敏感标签内容，防止信息泄露。软件需方需要获取解密密钥来读取这些内容。参考文献[1]GB/T32921—2016信息安全技术信息技术产品供应方行为安全准则[2]ISO/IEC19770-1:2015《Informationtechnology—Softwareassetmanagement—Part1：Processesandtieredassessmentofconformance》[3]ISO/IEC19770-2:2015《Informationtechnology-Softwareassetmanagement-Part2:Softwareidentificationtag》[4]NIST.IR.8060GuidelinesfortheCreationofInteroperableSoftwareIdentification(SWID)Tags[5]NIST.SP.800-161r1CybersecuritySupplyChainRiskManagementPracticesforSystemsandOrganizations8T/CSACxxx—20249T/CSACxxx—2024（资料性）软件标识化标签示例下面提供了软件标识化标签的一些示意示例，以帮助解释和实践本标准。A.1简单软件标识化标签此标签仅包含软件的基本识别元数据。<softwareIdentityname="AcmeSoftwareSuite"version="2.1"tagId="com.acme.swsuite.2.1"/>A.2详细软件标识化标签此标签展示了各种补充元数据的使用。<softwareIdentityname="AcmeServerTools"version="1.2"tagId="com.acme.servertools.1.2"><supplementaltype="patch"><patchIdentifiers><patchId>1234</patchId><patchId>5678</patchId></patchIdentifiers></supplemental><supplementaltype="description">TheAcmeServerToolspackageprovidesessentialutilitiesformanagingandmonitoringAcmeApplicationServers.</supplemental>T/CSACxxx—2024</softwareIdentity>A.3组件软件标识化标签下面示例展示了组件软件的标识标签。<softwareIdentityname="AcmeUtilityLibrary"version="1.1"part="PartA"tagId="com.acme.library.parta.1.1"/><softwareIdentityname="AcmeSoftwareSuite"version="2.1"tagId="com.acme.swsuite.2.1"><component>com.acme.library.parta.1.1</component></softwareIdentity>以上示例演示了软件标识化标签在不同场景下的应用，包括为组件提供标识以及描述组件与产品的关系。这些示例可以作为SWID标签实际使用的参考。T/CSACxxx—2024（资料性）标签扩展示例本附录包含扩展和增强软件标识化标签的一些可选示例。A.1许可证信息可以通过补充标签扩展来提供软件的许可证信息。<softwar