ICS 35. 240. 01 CCSL78 TCSAC ICS 中华人民共和国 团体标准 T/CSAC002—2024 软件标识标签技术要求 Technical requirements for software identification tag 2024 - 7- 31 发布 2024-7-31 实施 中国网络空间安全协会 发布 T/CSAC002—2024 目 次 ICS 前 言 I 1 范围 2规范性引用文件 3术语和定义 4缩略语 5软件标识标签 5.1 概述 5.2总体结构 5.3基本数据元素 5.4补充描述性数据元素 6软件标识标签基本数据元素 6.1 唯一标识符 6.2软件名称 6.3软件版本 6.4软件部件号 6.5软件供方 6.6软件供方标识 6.7标签类型 6.8时间戳 7软件标识标签处理 7.1 标签创建 7.2标签聚合 7.3标签共享 7.4标签完整性 7.5标签解析 7.6标签存储 8 标签类型 8.1 概述 8.2语料库标签 8.3主标识标签 8.4补丁标签 8.5补充标签 9 标签相关性 9.1相关性描述 9.2依赖关系 9.3组成关系 9.4 补丁关系 T/CSAC 002—2024 10标签安全 8 10.1数字签名 8 10.2加密 参考文献 II T/CSAC002—2024 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国网络空间安全协会提出。 本文件由中国网络空间安全协会归口。 本文件起草单位：中国信息安全测评中心、京东科技信息技术有限公司、工业和信息化部第五研究 所、深圳市金蝶天燕云计算股份有限公司、麒麟软件有限公司、统信软件技术有限公司、苏州棱镜七彩 信息科技有限公司、中移（杭州）信息技术有限公司、中国互联网络信息中心、北京大学深圳研究生院、 沈阳东软系统集成工程有限公司、北京数字认证股份有限公司、三六零数字安全科技集团有限公司、中 孚安全技术有限公司、拓尔思信息技术股份有限公司、杭州网易智企科技有限公司、北京航空航天大学。 本文件主要起草人：邵帅、高松、郑伟娜、唐洪山、王晓萌、柴思跃、顾欣、廖晗、林琳、李伟彬、 文波、孙丽丽、张磊、梁大功、黄浩东、滕腾、徐倩华、蔡倩楠、聂智戈、杨万禄、石娜、喻海生、贾 彦生、沈天翔、刘中、肖若楠、李娜、耿贵宁、刘俊红、鲁鹏、王洪俊、朱浩奇、李雨珂、关振宇、李 大伟。 III T/CSAC002—2024 软件标识标签技术要求 1范围 本文件规定了软件标识标签的功能、通用结构、必要的数据元素字段以及处理规则 本文件适用于软件供方和需方对软件标识标签的处理，也可为第三方机构开展软件标识标签验证提 供依据，为主管监管部门提供参考。 规范性引用文件 2 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T11457一2006信息技术软件工程术语 GB/T 25069—2022信息安全技术术语 GB/T36475—2018软件产品分类 GB/T36637一2018信息安全技术ICT供应链安全风险管理指南 GB/T43698一2024网络安全技术软件供应链安全要求 3术语和定义 GB/T43698-2024中定义的以及下列术语和定义适用于本文件。 3. 1 软件产品software product 计算机软件、信息系统或设备中嵌入的软件或在提供计算机信息系统集成、应用服务等技术服务时 提供的计算机软件。 注1：软件产品包含计算机程序代码、规程、相关数据、文档和相关服务 注2：本文件中软件产品简称为软件。 [来源：GB/T 43698-2024，3.1] 3. 2 软件标识标签 Software identification tag 用于标识和描述单个软件产品的数据元素集合，包含软件名称、版本、供方等方面的信息 3.3 元素 Element 支配类型的值或支配信息客体类别的信息客体，能分别从相同类型或相同类别信息客体的所有他值 中区别出来。 [来源：GB/T 16262.1-2006，3.6.19] 3. 4 1 T/CSAC002—2024 语料库标签 Corpus tag 用于软件安装包的软件标识标签。 3.5 主标识标签 Primary tag 用于标识软件产品发行版的标准软件标识标签。 3.6 补丁标签 Patch Tag 用于标识修补已发布软件产品缺陷和漏洞的补丁或修复的软件标识标签。 3. 7 补充标签 Supp lemental Tag 用于为已存在的软件标识标签提供额外数据元素的软件标识标签。 4缩略语 下列缩略语适用于本文件。 SWID 软件标识（Software Identification） CD/DVD光盘(Compact Disc/Digital versatile disc) 5软件标识标签 5.1概述 软件标识标签包括标识和描述软件所需的数据元素。这些数据元素可支持各种软件管理活动，如清 单生成、许可证确认、漏洞管理、配置管理等 软件标识标签应包含如名称、版本、发布者等软件的基本识别信息，以及其他有用信息，如文档位 置、安装说明、数字签名等。标签中的数据元素应能够准确、独特地标识软件。 而非直接集成到标签中，从而使软件标识标签尽可能简洁。 不同的软件应根据需要选择使用标签的子集或扩展。标签可通过JSON格式表示。不管采用何种格式， 都应遵循本文件对标签内容和语义的规定。 5.2总体结构 如图1所示，软件标识标签应包含标识软件所需的基本数据元素(见6.2)和数据元素完整性检查机 制（见8.4)。软件标识标签可包含补充描述性数据元素(见6.3)。 T/CSAC002—2024 补充描述性数据 基本数据元素 完整性检查机制 元素（可选） 唯一标识符 唯一标识符 唯一标识符 软件名称 软件名称 软件名称 软件版本 软件版本 软件版本 图1软件标识标签包含的信息类型 软件标识标签采用层次化的结构组织这些信息。最基本的一级包含用于标识软件所需的基本数据元 素。第二级和后续级别包含额外的描述性数据元素和完整性检查机制等。每一级都可通过引用的方式添 加进标签。 5.3基本数据元素 软件标识标签应包含以下基本数据元素： a）唯一标识符 b）软件名称 c）软件版本 d）软件供方 e）标签类型（语料库标签或主标识标签等） 这些数据元素代表了标识软件所需的最小必要信息。 5.4补充描述性数据元素 除基本数据元素外，软件标识标签还可包含多种可选的补充描述性数据元素，比如： a）软件部件号 b）软件供方标识 c）时间戳 d）文档信息 e）许可证信息 f）安装说明 g）相关性（依赖关系、组成关系和补丁关系） h）补丁/升级信息 i）运行环境信息 补充数据元素宜以引用的形式包含在软件标识标签中，这避免标签本身变得过于复杂亢长。 6 软件标识标签基本数据元素 6.1唯一标识符 此唯一标识符用于标识特定的软件标识标签实例。