Cómo crear SBOM en Java con Maven y Gradle

Al crear aplicaciones en Java, dependemos mucho de bibliotecas y frameworks externos. Además, es probable que cada paquete de Java que importamos también dependa de otras bibliotecas. Esto significa que, a menudo, no es del todo transparente cuántos paquetes de Java incluye tu aplicación. Como desarrollador, estas dependencias anidadas (transitivas) hacen que probablemente no sepas qué bibliotecas estás usando realmente.

Hace poco hablamos sobre por qué y cómo debemos administrar cuidadosamente nuestras dependencias. En el artículo Prácticas recomendadas para administrar dependencias de Java, analicé las opciones y herramientas disponibles para establecer una estrategia de administración de dependencias. Pero ¿qué pasa si entregas tu aplicación Java a un cliente? ¿Cómo puede saber qué dependencias incluye? Y, lo que es más importante, ¿cómo puede comprobar si las dependencias tienen vulnerabilidades de seguridad? La respuesta es una lista de materiales de software.

¿Qué es una SBOM?

Una lista de materiales de software, que suele abreviarse como SBOM, es una lista de todos los componentes de software que se usan en una aplicación. La SBOM está compuesta por bibliotecas de código abierto de terceros, paquetes proporcionados por proveedores y artefactos propios creados por la organización. Básicamente, puedes verla como la lista completa de ingredientes de tus aplicaciones.

Pero ten cuidado de no confundir una SBOM con la lista de materiales (BOM) de Maven. En Maven, una BOM es un tipo especial de archivo POM en el que podemos centralizar las dependencias de una aplicación. En la mayoría de los casos, estas dependencias funcionan bien juntas y se deben usar como un conjunto, como ocurre con las BOM que se usan en Spring.

Una SBOM se crea junto con tu aplicación para que cualquier usuario o cliente tenga una forma uniforme de averiguar qué usa tu aplicación internamente.

¿Por qué debería crear una SBOM?

Hay varias razones para crear una SBOM. En primer lugar, permite dar transparencia sobre lo que contiene tu aplicación. En la mayoría de las aplicaciones Java, entre el 80 % y el 90 % del binario generado está compuesto por otros paquetes de Java, como bibliotecas y frameworks.

Hoy en día, vemos muchos problemas de seguridad en la cadena de suministro. Las dependencias que usas forman parte de tu cadena de suministro, así que, si se detecta un problema en alguna de estas bibliotecas, necesitas saber si una aplicación es vulnerable. Considera las vulnerabilidades recientes de Log4Shell y Spring4Shell, que afectaron ciertos paquetes de uso común. Si se incluye una SBOM en cada versión, los usuarios finales y los clientes pueden comprobar fácilmente si las vulnerabilidades los afectan.

Se espera que la creación de SBOM se convierta en una práctica habitual, o incluso obligatoria en algunos casos, al entregar software. Por eso, creemos que es importante explicar cómo crear SBOM para tus proyectos Java, tema que abordaremos en el resto de este artículo.

Estándares de SBOM: SPDX y CycloneDX

Actualmente, hay varios estándares para las SBOM. Los dos más usados son SPDX y CycloneDX. Ambos ofrecen una forma de mostrar los componentes que contiene tu aplicación.

Software Package Data Exchange (SPDX) es un proyecto colaborativo de la Fundación Linux que ofrece un estándar abierto para comunicar información de listas de materiales de software, incluidos el origen, las licencias, la seguridad y otros datos relacionados. La especificación SPDX está reconocida como estándar internacional abierto para la seguridad, el cumplimiento de licencias y otros artefactos de la cadena de suministro de software, bajo la norma ISO/IEC 5962:2021.

CycloneDX es un estándar de SBOM de la fundación OWASP, diseñado para contextos de seguridad de aplicaciones y análisis de componentes de la cadena de suministro. Ofrece un inventario de todos los componentes de software propios y de terceros. La especificación es amplia y abarca más que las bibliotecas de software: incluye estándares como la lista de materiales de software como servicio (SaaSBOM), Vulnerability Exploitability Exchange (VEX) y otros. El proyecto CycloneDX ofrece estándares en XML, JSON y Protocol Buffers, además de una amplia colección de herramientas oficiales y compatibles con la comunidad que crean el estándar o interactúan con él.

Cuándo crear una SBOM en Java

Java es un lenguaje compilado, así que debes crear una SBOM cada vez que generes una versión de lanzamiento de tu aplicación. Por eso, tiene mucho sentido crear una SBOM al usar uno de los sistemas de compilación de Java, ya que el sistema descarga todos los paquetes que necesitas para compilar y generar tu aplicación. Con un plugin para Maven o Gradle, puedes crear SBOM fácilmente con cada lanzamiento de tu binario, ya sea en una sola máquina o como parte de tu pipeline de CI.

Crear una SBOM de Java con Maven

Plugin de CycloneDX para Maven

Hay un plugin de CylconeDX disponible en Maven Central y Github que parece estar bien mantenido y ser de uso común.

1<plugins>
2   <plugin>
3       <groupId>org.cyclonedx</groupId>
4       <artifactId>cyclonedx-maven-plugin</artifactId>
5       <version>2.7.1</version>
6       <executions>
7           <execution>
8               <phase>package</phase>
9               <goals>
10                   <goal>makeAggregateBom</goal>
11               </goals>
12           </execution>
13       </executions>
14       <configuration>
15           <projectType>library</projectType>
16           <schemaVersion>1.4</schemaVersion>
17           <includeBomSerialNumber>true</includeBomSerialNumber>
18           <includeCompileScope>true</includeCompileScope>
19           <includeProvidedScope>true</includeProvidedScope>
20           <includeRuntimeScope>true</includeRuntimeScope>
21           <includeSystemScope>true</includeSystemScope>
22           <includeTestScope>false</includeTestScope>
23           <includeLicenseText>false</includeLicenseText>
24           <outputReactorProjects>true</outputReactorProjects>
25           <outputFormat>all</outputFormat>
26           <outputName>CycloneDX-Sbom</outputName>
27       </configuration>
28   </plugin>
29</plugins>

Puedes configurar el plugin de CycloneDX de distintas maneras. En este caso, vinculé el objetivo makeAggregateBom del plugin a la fase package de Maven. Una vez que se crea mi JAR, el plugin genera una SBOM teniendo en cuenta la agregación. Excluye las dependencias de prueba y genera la SBOM en formatos XML y JSON en mi carpeta target.

En la SBOM se mencionan individualmente todas las dependencias, tanto directas como transitivas, como se muestra a continuación. En este caso, el paquete jackson-databind se incluyó de forma transitiva en mi aplicación a través de sprint-boot-starter-web.

1<component type="library" bom-ref="pkg:maven/com.fasterxml.jackson.core/jackson-databind@2.13.4?type=jar">
2 <publisher>FasterXML</publisher>
3 <group>com.fasterxml.jackson.core</group>
4 <name>jackson-databind</name>
5 <version>2.13.4</version>
6 <description>General data-binding functionality for Jackson: works on core streaming API</description>
7 <hashes>
8   <hash alg="MD5">03cb7aea126610e4c96ca6d14d75cc55</hash>
9   <hash alg="SHA-1">98b0edfa8e4084078f10b7b356c300ded4a71491</hash>
10   <hash alg="SHA-256">c9faff420d9e2c7e1e4711dbeebec2506a32c9942027211c5c293d8d87807eb6</hash>
11   <hash alg="SHA-512">23f32026b181c6c71efc7789a8420c7d5cbcfb15f7696657e75f9cbe3635d13a88634b5db3c344deb914b719d60e3a9bfc1b63fa23152394e1e70b8e7bcd2116</hash>
12   <hash alg="SHA-384">e25e844575891b2f3bcb2fdc67ae9fadf54d2836052c9ea2c045f1375eaa97e4780cd6752bef0ebc658fa17400c55268</hash>
13   <hash alg="SHA3-384">e6955877c2c27327f6814f06d681118be2ae1a36bc5ff2e84ad27f213203bf77c347ba18d9abc61d5f1c99b6e81f6c2d</hash>
14   <hash alg="SHA3-256">88b12b0643a4791fa5cd0c5e30bc2631903870cf916c8a1b4198c856fd91e5f4</hash>
15   <hash alg="SHA3-512">7e86a69bcf7b4c8a6949acce0ec15f33b74d5ac604f23cd631ec16bfdfd70d42499028b9d062648b31d7a187ea4dc98ec296a329f4cfd4952744ed1281fa9d9a</hash>
16 </hashes>
17 <licenses>
18   <license>
19     <id>Apache-2.0</id>
20   </license>
21 </licenses>
22 <purl>pkg:maven/com.fasterxml.jackson.core/jackson-databind@2.13.4?type=jar</purl>
23 <externalReferences><reference type="vcs"><url>http://github.com/FasterXML/jackson-databind</url></reference><reference type="website"><url>http://fasterxml.com/</url></reference><reference type="distribution"><url>https://oss.sonatype.org/service/local/staging/deploy/maven2/</url></reference></externalReferences>
24</component>

Plugin de SPDX para Maven (prototipo)

También hay un plugin de Maven para SPDX. Sin embargo, todavía está marcado como prototipo. En el ejemplo a continuación, usé la versión más reciente (al momento de escribir este artículo) con una configuración similar a la mencionada en el README de GitHub. Además, vinculé la tarea de creación de SPDX a la fase package, como en el ejemplo de CycloneDX.

1<plugin>
2   <groupId>org.spdx</groupId>
3   <artifactId>spdx-maven-plugin</artifactId>
4   <version>0.6.1</version>
5   <executions>
6       <execution>
7           <id>build-spdx</id>
8           <phase>package</phase>
9           <goals>
10               <goal>createSPDX</goal>
11           </goals>
12       </execution>
13   </executions>
14</plugin>

De forma predeterminada, esta versión del plugin guarda el resultado en /target/site/{groupId}_{artifactId}-{version}.spdx.json. Como ya sugiere la extensión del archivo, el formato de salida predeterminado es JSON.

Al revisar el resultado, me sorprendió que solo incluyera las dependencias de nivel superior y no las transitivas. El plugin está marcado como prototipo, así que esa podría ser la razón. También es posible que esté haciendo algo mal. Sin embargo, la documentación no me dio ninguna pista clara.

Herramienta CLI de SPDX para Maven

Como alternativa, hay una herramienta de línea de comandos llamada spdx-sbom-generator. Esta herramienta CLI puede generar SBOM en formato SPDX para muchos administradores de paquetes, incluido Maven para aplicaciones Java. Actualmente, no es compatible con Gradle.

Al ejecutar esta herramienta desde la línea de comandos, sin parámetros, en la raíz de mi aplicación, se crea una SBOM en formato SPDX. También se admiten otros formatos de salida, como JSON, si se especifica un parámetro.

1./spdx-sbom-generator

Esta SBOM generada parece mencionar individualmente todas las dependencias transitivas, como supuse que debía hacerlo.

1##### Package representing the jackson-databind
2
3PackageName: jackson-databind
4SPDXID: SPDXRef-Package-jackson-databind-2.13.4
5PackageVersion: 2.13.4
6PackageSupplier: Organization: jackson-databind
7PackageDownloadLocation: https://mvnrepository.com/artifact/com.fasterxml.jackson.core/jackson-databind/2.13.4
8FilesAnalyzed: false
9PackageChecksum: SHA1: 7d03e73aa50d143b3ecbdea2c0c9e158e5ed8021
10PackageHomePage: NOASSERTION
11PackageLicenseConcluded: NOASSERTION
12PackageLicenseDeclared: NOASSERTION
13PackageCopyrightText: NOASSERTION
14PackageLicenseComments: NOASSERTION
15PackageComment: NOASSERTION
16
17Relationship: SPDXRef-Package-jackson-databind-2.13.4 DEPENDS_ON SPDXRef-Package-jackson-annotations-2.13.4
18Relationship: SPDXRef-Package-jackson-databind-2.13.4 DEPENDS_ON SPDXRef-Package-jackson-core-2.13.4

Si quieres crear SBOM en formato SPDX, te recomiendo esta herramienta en lugar del plugin prototipo.

Crear una SBOM de Java con Gradle

Ahora veamos Gradle. Aunque se usa menos que Maven, sigue teniendo un uso considerable y podemos afirmar que es una herramienta de compilación bien adoptada en el ecosistema.

CycloneDX para Gradle

Hay un plugin de CyconeDX disponible para Gradle. Al igual que el plugin de Maven que mencionamos antes, el plugin de Gradle lo publica la organización CycloneDX en Github y cuenta con algunos de los mismos mantenedores que el plugin de Maven.

Para usar el plugin, solo agrégalo al bloque de plugins de tu archivo Gradle:

1plugins {
2   id 'org.cyclonedx.bom' version '1.7.2'
3}

Puedes configurar el plugin con un bloque cyclonedxBom, como se muestra a continuación:

1cyclonedxBom {
2   includeConfigs = ["runtimeClasspath"]
3   skipConfigs = ["compileClasspath", "testCompileClasspath"]
4   projectType = "application"
5   schemaVersion = "1.4"
6   destination = file("build/reports")
7   outputName = "CycloneDX-Sbom"
8   outputFormat = "all"
9   includeBomSerialNumber = true
10   componentVersion = "2.0.0"
11}

En este ejemplo, también agregué la línea build.finalizedBy('cyclonedxBom') al final de mi archivo Gradle. Ahora, después de compilar mi aplicación, se llamará automáticamente al objetivo cyclonedxBom, que funcionará de forma similar al plugin de Maven. Por supuesto, tú decides si quieres conectar el objetivo del plugin y cómo hacerlo.

El resultado es el esperado y similar al que vimos con el plugin de Maven. Con la configuración anterior, encontrarás versiones JSON y XML de la SBOM en la carpeta build de tu proyecto. Por eso, este plugin es una excelente opción para que los usuarios de Gradle creen SBOM.

SPDX para Gradle

Lamentablemente, no encontramos un plugin real para crear SBOM de tipo SPDX en proyectos de Gradle. Además, las herramientas CLI de terceros no están disponibles o no funcionan correctamente con proyectos Java basados en Gradle. Por ahora, no hay una forma sencilla de generar SBOM SPDX para Gradle.

Crear SBOM para tus proyectos Java

Crear una SBOM al compilar tu proyecto Java parece una práctica que pronto ganará popularidad. Tiene mucho sentido dejar que tu sistema de compilación se encargue de ello.

Tanto Maven como Gradle cuentan con plugins que crean SBOM al compilar tu aplicación. Como mostramos arriba, con estos plugins es muy sencillo crear SBOM junto con los artefactos de compilación de Java.