Microsoft hat mit Salus ein Open-Source-Werkzeug veröffentlicht, das eine vollständige Software Bill of Materials (SBOM) für Softwareprojekte erstellt. Das Tool listet sämtliche Komponenten eines Projekts auf und macht damit dessen Abhängigkeiten transparent.

Salus durchsucht Projekte nach externen Abhängigkeiten über verschiedene Paketmanager wie npm und PyPI und erkennt so Bibliotheken, die Entwickler eingebunden haben, ohne sie selbst geschrieben zu haben. Für jede Komponente legt das Werkzeug einen Eintrag im Standardformat SPDX an, das Dateien, Pakete und deren gegenseitige Abhängigkeiten dokumentiert.

Reaktion auf Risiken in der Softwarelieferkette

Hintergrund der Veröffentlichung sind die zunehmenden Angriffe über manipulierte Pakete in Softwarelieferketten. Wer nicht genau weiß, welche Komponenten in einem Projekt stecken, kann Sicherheitslücken oder Lizenzverstöße kaum aufspüren. Eine SBOM funktioniert dabei wie eine Inhaltsstoffliste für Software und schafft hier Abhilfe.

Für Teams, die Softwareprojekte mit vielen externen Bibliotheken pflegen, darunter auch Spielestudios mit umfangreichen Engine- und Middleware-Stacks, bietet ein Werkzeug wie Salus eine schnelle Möglichkeit, den Überblick über die eigene Codebasis zu behalten. Der Quellcode von Salus steht öffentlich auf GitHub bereit.