용어와 정의

영문 또는 원어: CBOM

영문 정식명칭: Cryptography Bill of Materials

한글명: 암호 자산 명세서

소프트웨어와 시스템에서 사용하는 암호 알고리즘, 키 관련 정보, 인증서와 그 의존 관계를 구조화해 기록한 명세입니다. 비밀키 원문을 모아 배포하는 문서가 아닙니다.

정확한 의미와 동작 원리

어떤 시스템에 어떤 암호 기술이 쓰이는지 알아야 취약하거나 지원이 끝나는 알고리즘의 영향을 찾을 수 있습니다. 암호 자산 명세서는 암호 사용 위치와 관련 구성 요소 및 의존 관계를 확인하는 데 필요한 정보를 정리합니다.

소프트웨어 구성 요소 목록만으로 실제 암호 사용 방식이 모두 드러나는 것은 아닙니다. 암호 자산 정보를 연결하면 어떤 구성 요소와 서비스가 특정 알고리즘이나 인증서에 의존하는지 검토할 수 있습니다.

건물 안의 잠금장치가 어디에 있고 어떤 방식인지 정리한 관리 대장에 비유할 수 있습니다. 대장을 만들었다고 잠금장치가 자동으로 교체되거나 모든 열쇠가 공개되는 것은 아닙니다.

소프트웨어 부품 목록과 암호 자산은 서로 연결될 수 있지만 같은 정보만을 담지는 않습니다. 어느 구성 요소가 어떤 암호 기능을 쓰는지 연결하는 것이 중요합니다.

알고리즘이나 인증서를 나열하는 것과 실제 시스템 간 의존 관계를 표현하는 것은 깊이가 다릅니다. 수집 범위와 도구의 지원 수준을 기록해야 합니다.

양자내성 암호 전환, 인증서 교체와 지원 종료 알고리즘의 영향 분석에 활용할 수 있습니다. 자동 발견 결과와 실제 실행 환경을 대조하고 미발견 영역도 남겨야 합니다.

CycloneDX의 관련 기능은 구조화된 암호 자산 표현을 제공합니다. 특정 형식으로 파일을 만들었다는 사실만으로 조직의 암호 사용 현황을 빠짐없이 조사했다고 보지 않습니다.

명세서 작성은 취약점 해결이나 양자내성 전환 완료의 증거가 아닙니다. 목록을 바탕으로 별도 평가와 변경 검증이 필요합니다.

비밀키, 인증 토큰이나 비밀번호를 명세서의 공개 자료로 포함하지 않습니다. 키의 존재와 속성 및 참조 정보와 실제 비밀값을 구분합니다.

기존 목록은 재사용하되 암호 알고리즘과 관련 자산 및 의존 관계가 실제로 기록돼 있는지 확인해야 합니다. 파일 이름이나 형식만으로 충분하다고 판단하지 않습니다.

현재 상태를 파악하는 근거가 될 뿐 자동 전환은 아닙니다. 호환성, 운영 영향과 검증 계획을 따로 준비해야 합니다.

CycloneDX의 암호 자산 명세 기능과 실제 조사 범위 및 사용 형식의 판을 구분합니다.

최종 검토일: 2026-10-25