Trivy en Producción · Lección 27
¿Por qué es recomendable firmar digitalmente un SBOM generado, en vez de dejarlo como un archivo plano sin protección?
Permite verificar que el SBOM no ha sido alterado desde que se generó, dando confianza en la integridad del inventario reportado
La firma cifra automáticamente el contenido completo del SBOM
Elimina por completo la necesidad de generar el SBOM en primer lugar
Solo es necesario si la aplicación es de código abierto
Trivy en Producción · Lección 27
Completa el código
Se puede usar una herramienta como Cosign para firmar y
Revisa: se puede usar una herramienta como Cosign para firmar y verificar.
Trivy en Producción · Lección 27
¿Por qué verificar la firma de un SBOM antes de confiar en su contenido es importante en un contexto de seguridad de la cadena de suministro (supply chain)?
Pista: sin verificar la firma, alguien podría haber manipulado el SBOM para ocultar un componente vulnerable, engañando a quien confía en ese inventario.
✓
¡Lección completada!
Firma y verificación de SBOM
0
XP ganado
3
Vidas restantes