💻 computer science

VeriSBOM: Secure and Verifiable SBOM Sharing Via Zero-Knowledge Proofs

El artículo presenta VeriSBOM, un marco de confianza cero que utiliza pruebas de conocimiento cero y compromisos vectoriales para permitir la verificación criptográfica de propiedades de seguridad y cumplimiento en los Boletines de Materiales de Software (SBOM) sin revelar información confidencial.

Autores originales: Gianpietro Castiglione, Shahriar Ebrahimi, Narges Khakpour

Publicado 2026-02-17

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Gianpietro Castiglione, Shahriar Ebrahimi, Narges Khakpour

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

¡Claro que sí! Imagina que VeriSBOM es como un sistema de "candados mágicos" y "sellos de garantía" para el software que usamos, diseñado para resolver un gran dilema: ¿Cómo podemos asegurarnos de que una aplicación es segura y cumple las reglas, sin que el fabricante tenga que mostrarnos todos sus secretos comerciales?

Aquí te lo explico con una analogía sencilla:

🏭 La Fábrica de Galletas (El Problema)

Imagina que eres un cliente que quiere comprar un pastel de chocolate muy famoso.

El problema: El pastelero (el desarrollador de software) te dice: "Te aseguro que mi pastel no tiene alérgenos peligrosos y usa ingredientes de primera calidad". Pero, si te muestra la receta completa (el SBOM o "Factura de Materiales"), revela sus secretos: qué marca de cacao usa, de qué proveedor, y sus técnicas secretas. ¡El pastelero no quiere que nadie sepa eso porque es su ventaja competitiva!
El riesgo: Si el pastelero te muestra la receta completa, un competidor podría robar sus secretos. Pero si no te muestra nada, tú no sabes si realmente usó chocolate de verdad o si escondió un ingrediente tóxico.

🪄 La Solución Mágica: VeriSBOM

VeriSBOM es un nuevo sistema que permite al pastelero decirte: "Te prometo con magia que mi pastel cumple todas las reglas, sin mostrarte la receta".

Funciona así, paso a paso:

1. El Libro de Reglas Público (La "Árbol de Commitment")

Imagina que hay un libro de contabilidad gigante y público (llamado Vector Commitment) donde todos los ingredientes permitidos están registrados.

Si el pastelero usa "Harina X", esa harina ya está registrada en el libro público.
Este libro es como un árbol gigante donde cada hoja es un ingrediente. Todos pueden ver la "raíz" del árbol (la prueba de que el libro es real), pero no necesitan ver cada hoja individualmente.

2. El Inspector de Calidad (El "Auditor")

Hay un inspector de confianza que revisa el libro público y marca con un sello verde (1) los ingredientes que son seguros y con un sello rojo (0) los que tienen virus o no cumplen las reglas.

Este inspector crea un segundo árbol gemelo (el Shadow Tree) que solo tiene los sellos de "Aprobado" o "Rechazado", sin decir qué ingrediente es.

3. La Prueba Mágica (Zero-Knowledge Proofs)

Aquí entra la magia de VeriSBOM. El pastelero no te entrega la receta. En su lugar, usa una máquina mágica (criptografía) para generar un sello de garantía único (una prueba de conocimiento cero).

La analogía: Imagina que el pastelero te da un sobre cerrado con un sello que dice: "Yo, el pastelero, juro que cada ingrediente de mi pastel está en el Libro Público y tiene el Sello Verde del Inspector".
Lo increíble: Tú puedes abrir el sobre y verificar el sello matemáticamente. Si el sello es válido, sabes con certeza que el pastel es seguro, pero sigues sin saber qué ingredientes específicos usó ni de qué marca son. ¡La receta sigue siendo un secreto!

🛡️ ¿Por qué es genial esto?

Privacidad Total: El fabricante protege sus secretos (su "fórmula secreta") porque nunca tiene que mostrar la lista completa de ingredientes.
Seguridad Real: Tú, el cliente, no tienes que confiar en las palabras del pastelero. Puedes verificar matemáticamente que ningún ingrediente tóxico está escondido. Si el pastelero intenta engañarte poniendo un ingrediente prohibido, la prueba mágica fallará y el sello no se abrirá.
Rapidez: Aunque el pastel tenga miles de ingredientes, la prueba mágica es tan pequeña y rápida de verificar que puedes hacerlo en segundos, incluso en tu teléfono.

🚀 En resumen

VeriSBOM es como un notario digital que permite a las empresas de software decir: "Nuestro código es seguro y cumple las leyes" sin tener que mostrarle a la competencia su código fuente ni sus proveedores secretos.

Es la forma perfecta de tener transparencia (saber que es seguro) sin sacrificar la privacidad (proteger los secretos del negocio). ¡Es como tener un candado que solo se abre para demostrar que la caja está llena de tesoros, sin tener que abrir la caja para que todos vean los tesoros!

1. El Problema

Los Software Bill of Materials (SBOM) son inventarios estructurados de componentes, dependencias y metadatos de un artefacto de software, esenciales para la transparencia de la cadena de suministro. Sin embargo, su adopción masiva enfrenta dos barreras críticas:

Riesgos de Confidencialidad: Las organizaciones no quieren revelar SBOM completos en texto plano porque exponen:
- Propiedad Intelectual: Estrategias arquitectónicas y dependencias propietarias.
- Vulnerabilidades no parcheadas: Dependencias obsoletas o sin parches que podrían ser explotadas por atacantes si se conocen.
- Riesgos Comerciales: En cadenas de suministro multinivel, la transparencia total puede permitir a los clientes saltarse a los proveedores Tier-1 y contactar directamente con sub-proveedores.
El Dilema de la Verificación: Si se oculta información sensible (SBOM selectivo), surge un "vacío de verificación". Un proveedor malicioso podría omitir dependencias vulnerables o falsificar el cumplimiento de políticas. Los métodos actuales de validación suelen requerir acceso al código fuente o al SBOM completo, lo cual es inviable en entornos propietarios o cerrados.

Objetivo: Crear un marco que permita compartir SBOM de forma selectiva (protegiendo datos sensibles) pero que sea criptográficamente verificable por terceros sin necesidad de confiar en el emisor ni revelar la información oculta.

2. Metodología: VeriSBOM

VeriSBOM es un marco de confianza cero (trustless) que combina dos primitivas criptográficas: Compromisos Vectoriales (Vector Commitments - VC) y Pruebas de Conocimiento Cero (Zero-Knowledge Proofs - ZKPs).

Arquitectura de Doble Árbol (Dual-Tree Architecture)

El sistema utiliza dos árboles de Merkle (estructuras de VC) paralelos e isomórficos:

Árbol de Paquetes ( $P_T$ ): Mantenido por el gestor de paquetes (ej. crates.io). Cada hoja representa la inclusión y autenticidad de un paquete en el repositorio oficial.
Árbol de Sombra ( $S_T$ ): Mantenido por un auditor independiente. Es isomórfico al $P_T$ (misma estructura e índices) y contiene el estado de cumplimiento de cada paquete respecto a políticas específicas (ej. licencias, ausencia de vulnerabilidades). Las hojas contienen un valor binario (1 = Cumple, 0 = No cumple).

Generación de Pruebas (Prover)

El proveedor de software (Prover) genera un SBOM y, en lugar de publicarlo en texto plano, crea una Prueba de Conocimiento Cero (ZKP).
Utiliza un esquema de plegado (folding) (basado en Nova) para agrupar múltiples verificaciones de dependencias en una sola prueba de tamaño constante.
La prueba demuestra dos cosas simultáneamente sin revelar los datos subyacentes:
- Prueba de Inclusión (P1): Las dependencias existen en el $P_T$ (son auténticas).
- Prueba de Cumplimiento (P2): Las dependencias tienen el valor "1" en el $S_T$ (cumplen las políticas).
Se utiliza un Motor de Propagación de Políticas (PPE) que recorre el grafo de dependencias. Si una dependencia es no conforme, el estado de "no conforme" (0) se propaga recursivamente a todos los paquetes padres en el $S_T$ .

Verificación (Verifier)

El consumidor (verificador) recibe el artefacto, la prueba ZK y los raíces públicas ( $g_{PT}$ y $g_{ST}$ ) de los árboles mantenidos por el gestor de paquetes y el auditor.
El verificador comprueba la prueba contra estas raíces públicas.
Confidencialidad: El verificador confirma que el software cumple las políticas y usa dependencias auténticas, pero no aprende qué dependencias específicas se utilizaron ni los detalles ocultos del SBOM.

3. Contribuciones Clave

Verificación de Políticas con Preservación de Privacidad: Permite a los clientes verificar el cumplimiento de políticas de seguridad y licencias sin exponer la estructura de dependencias o metadatos sensibles.
Análisis de Seguridad Formal: Se analiza la seguridad del sistema frente a un adversario probabilístico de tiempo polinomial (PPT), demostrando resistencia contra ataques de inyección, suplantación de versiones y ataques de árboles paralelos.
Escalabilidad mediante Plegado (Folding): Utiliza esquemas de plegado recursivo para generar pruebas que mantienen un tamaño constante, independientemente de la cantidad de dependencias (cientos o miles), resolviendo el problema de la sobrecarga computacional en sistemas grandes.
Implementación y Evaluación: Se ha implementado un prototipo funcional que integra gestores de paquetes, auditores y generadores de pruebas, validado en repositorios del mundo real.

4. Resultados y Evaluación

Los experimentos se realizaron en un entorno de hardware estándar (Intel i5, 16GB RAM) simulando repositorios de paquetes reales (como crates.io).

Tamaño de Almacenamiento (VC): El almacenamiento adicional requerido para los compromisos vectoriales es bajo. Para 10 millones de paquetes, el tamaño total es de ~4-5 GB.
Tamaño de la Prueba: El tamaño de la prueba ZK permanece constante (~13 KB), independientemente del número de dependencias o del tamaño del registro de paquetes. Esto se logra gracias al esquema de plegado.
Tiempo de Generación: El tiempo de generación de la prueba escala linealmente con el número de dependencias, pero es independiente del tamaño total del repositorio. Por ejemplo, probar una librería con 300 dependencias toma solo unos segundos adicionales incluso en repositorios masivos.
Tiempo de Verificación: La verificación es extremadamente rápida y constante (80-95 ms), independientemente de la complejidad del SBOM o el tamaño del repositorio.
Escenarios de Prueba: Se validaron cuatro escenarios:
- Cumplimiento Baseline: Éxito.
- Inyección (Paquete desconocido o violación de política): La prueba falla inmediatamente.
- Revocación: Si un auditor actualiza el árbol de sombra para marcar un paquete como vulnerable, las pruebas antiguas fallan al verificar contra la nueva raíz, bloqueando el artefacto sin necesidad de escaneo local.
- Remediación: Tras parchear, se genera una nueva prueba válida.

5. Significado e Impacto

VeriSBOM representa un avance significativo en la seguridad de la cadena de suministro de software al resolver la tensión entre transparencia y privacidad:

Adopción sin Fricción: No requiere modificar los repositorios de paquetes existentes ni las herramientas de los consumidores; opera como una capa criptográfica externa.
Confianza Descentralizada: Elimina la necesidad de confiar en la honestidad del proveedor de software. La verificación se basa en la corrección de las primitivas criptográficas y las raíces públicas de entidades de confianza (gestor de paquetes y auditor).
Viabilidad Práctica: Demuestra que la verificación criptográfica de SBOMs complejos es escalable y eficiente, permitiendo su integración en pipelines de CI/CD y entornos de producción sensibles al rendimiento.
Futuro: Abre la puerta a la verificación automatizada de cumplimiento normativo (como las directrices de la OMB de EE. UU.) sin comprometer la propiedad intelectual de las empresas, facilitando una cadena de suministro más segura y transparente.

En resumen, VeriSBOM transforma el SBOM de un documento estático y potencialmente riesgoso en una herramienta dinámica de verificación segura, permitiendo que la industria adopte la transparencia necesaria para la seguridad sin sacrificar la confidencialidad comercial.