1T/CSACxxx—2024軟件標(biāo)識化標(biāo)簽技術(shù)指南本文件規(guī)定了軟件標(biāo)識化標(biāo)簽的功能、通用結(jié)構(gòu)、必要的元數(shù)據(jù)字段以及處理規(guī)則。軟件標(biāo)識化標(biāo)簽提供了標(biāo)識和描述軟件產(chǎn)品的必要且充分的元數(shù)據(jù)，包含有關(guān)軟件組織、許可、安裝等方面的信息。本文件適用于軟件標(biāo)識化標(biāo)簽的各種應(yīng)用領(lǐng)域，有助于支持各種軟件管理活動。軟件標(biāo)識化標(biāo)簽可以獨立使用，也可以集成到軟件物料清單中。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T11457-2006信息技術(shù)軟件工程術(shù)語GB/T25069—2022信息安全技術(shù)術(shù)語GB/T36475-2018軟件產(chǎn)品分類GB/T36637—2018信息安全技術(shù)ICT供應(yīng)鏈安全風(fēng)險管理指南GB/T43698—2024網(wǎng)絡(luò)安全技術(shù)軟件供應(yīng)鏈安全要求3術(shù)語和定義GB/T43698-2024中定義的以及下列術(shù)語和定義適用于本文件3.1軟件產(chǎn)品softwareproduct計算機軟件、信息系統(tǒng)或設(shè)備中嵌入的軟件或在提供計算機信息系統(tǒng)集成、應(yīng)用服務(wù)等技術(shù)服務(wù)時提供的計算機軟件。[來源：GB/T43698——2024，3.1]3.2軟件標(biāo)識SoftwareIdentification一個包含基本元素、可選元素和擴展元素的用于識別軟件產(chǎn)品的描述文件。[GB/T36328-2018,定義3.1，有修改]3.3軟件標(biāo)識化標(biāo)簽SoftwareIdentifierTag用于標(biāo)識和描述單個軟件產(chǎn)品的元數(shù)據(jù)集合。3.42T/CSACxxx—2024元素Element支配類型的值或支配信息客體類別的信息客體，能分別從相同類型或相同類別信息客體的所有他值中區(qū)別出來。[GB/T16262.1-2006,定義3.6.19]4縮略語下列縮略語適用于本文件。API應(yīng)用程序編程接口（ApplicationProgrammingInterface）SWID軟件標(biāo)識化標(biāo)簽（SoftwareIdentification）URI統(tǒng)一資源描述符（UniformResourceIdentifier）XML擴展標(biāo)記語言（ExtensibleMarkupLanguage）XpathXML路徑語言（XMLPathLanguage）XSDXML模式定義（XMLSchemaDefinition）5軟件標(biāo)識化標(biāo)簽5.1概述軟件標(biāo)識化標(biāo)簽提供了標(biāo)識和描述軟件所需的元數(shù)據(jù)。這些元數(shù)據(jù)可支持各種軟件管理活動，如清單生成、許可證確認(rèn)、漏洞管理、配置管理等。軟件標(biāo)識化標(biāo)簽包含如名稱、版本、發(fā)布者等軟件的基本識別信息。標(biāo)簽還可以包含其他有用信息，如文檔位置、安裝說明等。標(biāo)簽中的元數(shù)據(jù)旨在準(zhǔn)確、獨特地標(biāo)識軟件。一個核心的設(shè)計原則是軟件標(biāo)識化標(biāo)簽應(yīng)僅包含標(biāo)識軟件所需的最小必要信息。額外的非識別信息可以通過引用的方式包含進(jìn)來，而不是直接集成到標(biāo)簽中。這可以使軟件標(biāo)識化標(biāo)簽保持簡潔。不同的軟件可以根據(jù)需要選擇使用標(biāo)簽的子集或擴展。標(biāo)簽可以通過多種格式來表達(dá)，如XML、JSON等。不管采用何種表達(dá)格式，都應(yīng)該遵循本標(biāo)準(zhǔn)中對標(biāo)簽內(nèi)容和語義的規(guī)定。軟件標(biāo)識化標(biāo)簽旨在獨立存在，也可以嵌入到更大的軟件識別結(jié)構(gòu)中。例如，它可以集成在軟件清單或者其他軟件關(guān)系描述文件中。這使軟件標(biāo)識化標(biāo)簽可以靈活地應(yīng)用到各種不同場景。5.2總體結(jié)構(gòu)軟件標(biāo)識化標(biāo)簽可以包含以下類型的信息：a)標(biāo)識軟件所需的基本元數(shù)據(jù)(見6.2)b)可選的補充描述性元數(shù)據(jù)(見6.3)c)元數(shù)據(jù)完整性檢查機制，如數(shù)字簽名(見8.4)軟件標(biāo)識化標(biāo)簽采用層次化的結(jié)構(gòu)組織這些信息。最基本的一級包含用于標(biāo)識軟件所需的基本元數(shù)據(jù)。第二級和后續(xù)級別包含額外的描述性元數(shù)據(jù)。每一級都可以通過引用的方式添加進(jìn)標(biāo)簽。5.3基本元數(shù)據(jù)軟件標(biāo)識化標(biāo)簽要求必須包含以下基本元數(shù)據(jù)：a)軟件標(biāo)識化標(biāo)簽的唯一標(biāo)識符3T/CSACxxx—2024b)軟件名稱c)軟件版本d)軟件部分號(可選)e)軟件供方f)軟件供方標(biāo)識(可選)這些元數(shù)據(jù)代表了標(biāo)識軟件所需的最小必要信息。5.4補充描述性元數(shù)據(jù)除基本元數(shù)據(jù)外，軟件標(biāo)識化標(biāo)簽還可以包含多種可選的補充描述性元數(shù)據(jù)，比如：a)標(biāo)簽類型(軟件產(chǎn)品或補丁等)b)文檔信息c)許可證信息d)安裝說明e)軟件依賴關(guān)系f)補丁/升級信息g)運行環(huán)境信息補充元數(shù)據(jù)可以以引用的形式包含在軟件標(biāo)識化標(biāo)簽中。這避免標(biāo)簽本身變得過于復(fù)雜冗長。6軟件標(biāo)識化標(biāo)簽內(nèi)容6.1名稱此元數(shù)據(jù)識別軟件產(chǎn)品的通常名稱。例如“AcmeWordProcessor”。名稱應(yīng)具有足夠的特定性以準(zhǔn)確標(biāo)識軟件產(chǎn)品。過于通用的名稱如“文件編輯器”應(yīng)避免使用。6.2版本此元數(shù)據(jù)標(biāo)識軟件產(chǎn)品的準(zhǔn)確版本。版本通常由以下元素組成：a)主版本號：產(chǎn)品版本系列中主要版本的編號。b)次版本號：主版本下的次要版本編號。c)修訂號：小的修改和缺陷修復(fù)版本編號。d)構(gòu)建號：完整識別構(gòu)建或編譯的唯一標(biāo)識符。例如：“6543”，應(yīng)盡可能全面清晰以準(zhǔn)確區(qū)分不同軟件產(chǎn)品版本。6.3軟件部件號對于由多個部件或文件組成的軟件產(chǎn)品，可標(biāo)識特定部分或組件的編號。部分號與產(chǎn)品版本號組合，可以準(zhǔn)確定位軟件組成部分。6.4軟件供方此元數(shù)據(jù)標(biāo)識負(fù)責(zé)提供軟件產(chǎn)品的組織，應(yīng)使用組織的正式名稱。例如：“AcmeSoftwareInc.”4T/CSACxxx—20246.5供方標(biāo)識符此可選元數(shù)據(jù)包含標(biāo)識軟件供方的唯一標(biāo)識字符串。標(biāo)識方式應(yīng)參考ISO/IEC19770-1中對供方標(biāo)識的相關(guān)規(guī)定。6.6標(biāo)簽標(biāo)識符此唯一標(biāo)識符用于標(biāo)識特定的軟件標(biāo)識化標(biāo)簽實例。標(biāo)識符的格式應(yīng)符合ISO/IEC19770-1中對唯一標(biāo)識符的定義。標(biāo)識符應(yīng)盡可能簡潔。7軟件標(biāo)識化標(biāo)簽處理7.1標(biāo)簽創(chuàng)建軟件供方應(yīng)該在軟件產(chǎn)品發(fā)布時創(chuàng)建一個包含基本元數(shù)據(jù)的軟件標(biāo)識化標(biāo)簽。在軟件生命周期的后續(xù)階段，可以根據(jù)需要通過添加補充元數(shù)據(jù)來擴展和增強標(biāo)簽。7.2標(biāo)簽聚合對于由多個組件組成的軟件產(chǎn)品，應(yīng)該為每個組件創(chuàng)建軟件標(biāo)識化標(biāo)簽，然后這些組件級標(biāo)簽可以聚合到產(chǎn)品級軟件標(biāo)識化標(biāo)簽中。產(chǎn)品級標(biāo)簽將包含對組件標(biāo)簽的引用。7.3標(biāo)簽共享軟件供方應(yīng)該通過軟件包或軟件目錄等方式共享軟件標(biāo)識化標(biāo)簽，以便標(biāo)簽可以和軟件產(chǎn)品一起傳遞給最終用戶。7.4標(biāo)簽完整性校驗軟件供方可以通過數(shù)字簽名或哈希校驗等機制來保護(hù)軟件標(biāo)識化標(biāo)簽的完整性，這可以防止標(biāo)簽被意外或惡意修改。7.5標(biāo)簽解析接收到軟件標(biāo)識化標(biāo)簽的實體應(yīng)該能解析并處理標(biāo)簽中的元數(shù)據(jù)。解析過程需要檢驗標(biāo)簽的完整性和有效性。7.6標(biāo)簽存儲解析后的軟件標(biāo)識化標(biāo)簽可以存儲于資產(chǎn)管理系統(tǒng)、清單數(shù)據(jù)庫等倉庫中，以供后續(xù)管理和報告使8標(biāo)簽類型軟件標(biāo)識化標(biāo)簽可以應(yīng)用于多種不同的軟件實體。本規(guī)范定義了五種類型的軟件標(biāo)識化標(biāo)簽：安裝5T/CSACxxx—2024包標(biāo)識標(biāo)簽、主標(biāo)識標(biāo)簽、補丁標(biāo)識標(biāo)簽和補充標(biāo)簽。安裝包標(biāo)簽、主標(biāo)簽和補丁標(biāo)簽具有相似的功能，因為它們描述了不同類型軟件的存在和/或存在，以及可能的軟件產(chǎn)品的不同狀態(tài)。文件集標(biāo)簽標(biāo)識相關(guān)文件集合，補充標(biāo)簽以補充方式為已存在的軟件標(biāo)識化標(biāo)簽提供額外元數(shù)據(jù)。8.1安裝包標(biāo)簽安裝標(biāo)簽提供有關(guān)軟件分發(fā)的信息，例如有關(guān)其包含的文件的信息。該信息可用于在軟件部署期間驗證軟件分發(fā)的完整性和/或真實性。在安裝軟件之前，通常以軟件安裝包的形式將其交付或以其他方式提供給計算設(shè)備。安裝包包含處于預(yù)安裝狀態(tài)的軟件，通常以某種方式壓縮。安裝包的常見格式包括TAR和ZIP文件，以及“自解壓”可執(zhí)行文件。在所有情況下，必須運行安裝過程，以使安裝包中包含的軟件解包并部署到目標(biāo)設(shè)備上。本規(guī)范為軟件供方定義了安裝包標(biāo)簽，用于識別和描述處于這種預(yù)安裝狀態(tài)的產(chǎn)品。軟件安裝包的軟件標(biāo)識和描述信息的可用性使得能夠驗證軟件包并驗證發(fā)布軟件包的組織。安裝包標(biāo)簽旨在用作軟件安裝工具和過程的輸入；作為安裝過程的一部分，它們不會安裝在設(shè)備上。安裝包標(biāo)簽可由安裝工具用于驗證可安裝產(chǎn)品的完整性，并在執(zhí)行安裝程序之前驗證安裝包的發(fā)行者。如果安裝包標(biāo)簽中包含安裝文件清單，如果有效負(fù)載數(shù)據(jù)和實際文件不匹配，則可以檢測到安裝包篡改，并中止安裝過程。當(dāng)與其他許可數(shù)據(jù)相結(jié)合時，安裝包標(biāo)簽可以幫助消費者在安裝產(chǎn)品之前確認(rèn)他們是否擁有產(chǎn)品的有效許可。8.2主標(biāo)識標(biāo)簽用于標(biāo)識軟件產(chǎn)品發(fā)行版的標(biāo)準(zhǔn)軟件標(biāo)識化標(biāo)簽。此類標(biāo)簽包含對產(chǎn)品名稱、版本、軟件供方等的核心識別元數(shù)據(jù)。主標(biāo)簽提供有關(guān)已安裝或修補的軟件產(chǎn)品的特定信息（例如，產(chǎn)品命名信息、軟件創(chuàng)建者、預(yù)期包含的文件列表）。每個標(biāo)記產(chǎn)品的主標(biāo)簽需要提供“強制性”的所有數(shù)據(jù)元素的值。最小主標(biāo)簽提供產(chǎn)品名稱（作為字符串）、標(biāo)簽的唯一標(biāo)識符以及標(biāo)識標(biāo)簽創(chuàng)建者的基本信息。理想情況下，軟件供方也是該產(chǎn)品主要標(biāo)簽的創(chuàng)建者；然而，其他方（包括自動化工具）在軟件供方拒絕為產(chǎn)品創(chuàng)建標(biāo)簽或?qū)⒋素?zé)任委托給另一方的情況下也可為產(chǎn)品創(chuàng)建標(biāo)記。標(biāo)簽創(chuàng)建者的替代角色包括聚合、分發(fā)和許可軟件產(chǎn)品的組織和個人。全局唯一的標(biāo)簽標(biāo)識符在許多使用場景中是重要的信息，因為它可以用作軟件安裝的全局唯一的代理標(biāo)識符。主標(biāo)簽的標(biāo)簽標(biāo)識符可以被認(rèn)為是標(biāo)記產(chǎn)品的代理標(biāo)識符，因為主標(biāo)簽與其所標(biāo)識的已安裝軟件之間存在一對一的關(guān)系。為了提高處理效率，庫存和發(fā)現(xiàn)工具可以選擇僅使用標(biāo)簽標(biāo)識符而不是完全填充的主標(biāo)簽來識別和報告標(biāo)記產(chǎn)品。當(dāng)產(chǎn)品升級時，與舊版本關(guān)聯(lián)的主標(biāo)記將被刪除，并替換為新版本的主標(biāo)記。當(dāng)產(chǎn)品從設(shè)備中移除時，其主要標(biāo)簽也會被移除。通過嚴(yán)格維護(hù)已安裝軟件和相關(guān)標(biāo)簽之間的一對一關(guān)聯(lián)，可以使用軟件標(biāo)識化標(biāo)簽數(shù)據(jù)持續(xù)監(jiān)控已安裝軟件庫存并跟蹤軟件更新。8.3補丁標(biāo)識標(biāo)簽6T/CSACxxx—2024用于標(biāo)識修補已發(fā)布軟件產(chǎn)品缺陷和漏洞的補丁或修復(fù)的標(biāo)簽。此類標(biāo)簽應(yīng)引用所應(yīng)用的軟件產(chǎn)品及其版本。補丁標(biāo)簽提供有關(guān)軟件補丁的特定信息，軟件補丁一般被用于糾正產(chǎn)品中的錯誤或為產(chǎn)品添加新功能。修補程序標(biāo)簽提供有關(guān)修補程序?qū)π扪a軟件產(chǎn)品的安裝足跡所做的更改的信息，包括添加、刪除或更改的文件。軟件提供商可以發(fā)布修補程序來糾正產(chǎn)品中的缺陷或為產(chǎn)品添加新功能。在設(shè)備上安裝修補程序時，會對產(chǎn)品的安裝足跡進(jìn)行更改。由于修補程序擴充了現(xiàn)有安裝，因此需要單獨跟蹤這些更改。補丁標(biāo)簽可以識別和描述每個補丁。安裝修補程序后，將在設(shè)備上與修補產(chǎn)品相關(guān)的位置放置修補程序標(biāo)簽。當(dāng)軟件提供商未提供補丁標(biāo)簽時，發(fā)現(xiàn)工具可以創(chuàng)建補丁標(biāo)簽以指示補丁的先前應(yīng)用。與補丁不同，升級被定義為完全替換產(chǎn)品的安裝痕跡。升級通常會更改產(chǎn)品的版本號和/或發(fā)布詳細(xì)信息。補丁標(biāo)簽中包含的數(shù)據(jù)元素標(biāo)識和描述補丁，而不是應(yīng)用補丁的產(chǎn)品。例如，修補程序標(biāo)簽中記錄的產(chǎn)品名稱和版本不需要與修補程序產(chǎn)品的主標(biāo)簽中所記錄的產(chǎn)品名和版本匹配。相反，這些屬性可以用來記錄軟件提供商分配的補丁的名稱和版本。8.4文件集標(biāo)識標(biāo)簽用于標(biāo)識相關(guān)文件集合的標(biāo)簽，例如文檔、幫助內(nèi)容等。文件集標(biāo)識標(biāo)簽應(yīng)引用所應(yīng)用的軟件產(chǎn)品版本。8.5補充標(biāo)簽用于以補充方式為已存在的軟件標(biāo)識化標(biāo)簽提供額外元數(shù)據(jù)的標(biāo)簽。例如提供額外的許可或安裝信息。應(yīng)包含對所擴展的原標(biāo)簽的引用。補充標(biāo)簽提供了描述與其他標(biāo)簽相關(guān)的附加信息的機制，任何實體都可以出于任何目的創(chuàng)建補充標(biāo)簽。例如，可以通過自動化工具創(chuàng)建補充標(biāo)簽，以便用附加的特定站點信息（例如許可證密鑰和本地負(fù)責(zé)方的聯(lián)系信息）來擴充現(xiàn)有的主標(biāo)簽。補充標(biāo)簽旨在提供補充的數(shù)據(jù)值，該數(shù)據(jù)值與主標(biāo)簽和產(chǎn)品的任何其他補充標(biāo)簽提供的數(shù)據(jù)值不沖突。如果檢測到?jīng)_突，則主標(biāo)簽中的數(shù)據(jù)（如果由軟件生產(chǎn)者提供）被認(rèn)為是最可靠的，并且可以期望工具忽略沖突數(shù)據(jù)或?qū)⑺袥_突數(shù)據(jù)報告為異常。例如，記錄在補充標(biāo)簽中的強制性產(chǎn)品名稱應(yīng)與記錄在產(chǎn)品主標(biāo)簽中的產(chǎn)品名稱相匹配；如果它們不同，則記錄在主標(biāo)記中的名稱被視為首選名稱。軟件產(chǎn)品升級后，與產(chǎn)品升級前版本相關(guān)的所有主要標(biāo)簽、補丁和補充標(biāo)簽都將被刪除。如果需要，可以部署與升級版本相關(guān)聯(lián)的新補充標(biāo)簽。刪除軟件產(chǎn)品后，將刪除與該產(chǎn)品相關(guān)的所有主要標(biāo)簽、修補程序標(biāo)簽和補充標(biāo)簽。軟件標(biāo)識化標(biāo)簽還可以通過“標(biāo)簽類型”特性進(jìn)行擴展，用于表示自定義的標(biāo)簽類型。9標(biāo)簽相關(guān)性描述7T/CSACxxx—2024軟件系統(tǒng)通常由多個相互相關(guān)的軟件實體組成。相關(guān)軟件實體可以通過不同的軟件標(biāo)識化標(biāo)簽進(jìn)行標(biāo)識。為了描述軟件實體之間的相關(guān)性，軟件標(biāo)識化標(biāo)簽可以包含以下類型的相關(guān)性信息：9.1依賴關(guān)系標(biāo)識標(biāo)簽所描述軟件依賴的其它軟件，應(yīng)包含對依賴軟件標(biāo)簽的引用。9.2組成關(guān)系標(biāo)識標(biāo)簽描述的軟件是由哪些組件軟件組成的，應(yīng)包含對組件軟件標(biāo)簽的引用。9.3補丁關(guān)系標(biāo)識標(biāo)簽描述的補丁或修復(fù)應(yīng)用于哪個軟件，應(yīng)包含對所應(yīng)用軟件標(biāo)簽的引用。通過相關(guān)性描述，可以構(gòu)建出軟件系統(tǒng)的完整層次關(guān)系模型。10標(biāo)簽安全軟件供方應(yīng)采取加密和數(shù)據(jù)簽名等安全機制來保護(hù)軟件標(biāo)識化標(biāo)簽的完整性和可驗證性。10.1數(shù)字簽名使用數(shù)字簽名技術(shù)，軟件供方可以對標(biāo)簽內(nèi)容進(jìn)行簽名。這可以讓軟件需方驗證標(biāo)簽的來源和完整性，防止標(biāo)簽在傳輸過程中被意外或惡意修改。10.2加密通過加密技術(shù)，軟件供方可以加密敏感標(biāo)簽內(nèi)容，防止信息泄露。軟件需方需要獲取解密密鑰來讀取這些內(nèi)容。參考文獻(xiàn)[1]GB/T32921—2016信息安全技術(shù)信息技術(shù)產(chǎn)品供應(yīng)方行為安全準(zhǔn)則[2]ISO/IEC19770-1:2015《Informationtechnology—Softwareassetmanagement—Part1：Processesandtieredassessmentofconformance》[3]ISO/IEC19770-2:2015《Informationtechnology-Softwareassetmanagement-Part2:Softwareidentificationtag》[4]NIST.IR.8060GuidelinesfortheCreationofInteroperableSoftwareIdentification(SWID)Tags[5]NIST.SP.800-161r1CybersecuritySupplyChainRiskManagementPracticesforSystemsandOrganizations8T/CSACxxx—20249T/CSACxxx—2024（資料性）軟件標(biāo)識化標(biāo)簽示例下面提供了軟件標(biāo)識化標(biāo)簽的一些示意示例，以幫助解釋和實踐本標(biāo)準(zhǔn)。A.1簡單軟件標(biāo)識化標(biāo)簽此標(biāo)簽僅包含軟件的基本識別元數(shù)據(jù)。<softwareIdentityname="AcmeSoftwareSuite"version="2.1"tagId="com.acme.swsuite.2.1"/>A.2詳細(xì)軟件標(biāo)識化標(biāo)簽此標(biāo)簽展示了各種補充元數(shù)據(jù)的使用。<softwareIdentityname="AcmeServerTools"version="1.2"tagId="com.acme.servertools.1.2"><supplementaltype="patch"><patchIdentifiers><patchId>1234</patchId><patchId>5678</patchId></patchIdentifiers></supplemental><supplementaltype="description">TheAcmeServerToolspackageprovidesessentialutilitiesformanagingandmonitoringAcmeApplicationServers.</supplemental>T/CSACxxx—2024</softwareIdentity>A.3組件軟件標(biāo)識化標(biāo)簽下面示例展示了組件軟件的標(biāo)識標(biāo)簽。<softwareIdentityname="AcmeUtilityLibrary"version="1.1"part="PartA"tagId="com.acme.library.parta.1.1"/><softwareIdentityname="AcmeSoftwareSuite"version="2.1"tagId="com.acme.swsuite.2.1"><component>com.acme.library.parta.1.1</component></softwareIdentity>以上示例演示了軟件標(biāo)識化標(biāo)簽在不同場景下的應(yīng)用，包括為組件提供標(biāo)識以及描述組件與產(chǎn)品的關(guān)系。這些示例可以作為SWID標(biāo)簽實際使用的參考。T/CSACxxx—2024（資料性）標(biāo)簽擴展示例本附錄包含擴展和增強軟件標(biāo)識化標(biāo)簽的一些可選示例。A.1許可證信息可以通過補充標(biāo)簽擴展來提供軟件的許可證信息。<softwar