Especificación del Repositorio VEX v0.1

Especificación del Repositorio VEX v0.1

Las palabras clave "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY" y "OPTIONAL" en este documento deben interpretarse tal como se describe en el RFC 2119.

1. Versionado

La Especificación del Repositorio VEX (Vulnerability Exploitability eXchange) DEBE utilizar versionado vX.Y.
Para v1.0 y posteriores:
- X (versión principal) DEBE actualizarse para cambios que rompen la compatibilidad.
- Y (versión secundaria) DEBE actualizarse para cambios compatibles con versiones anteriores.
Para versiones v0.Y, los cambios que rompen la compatibilidad PUEDEN ocurrir con actualizaciones de versión secundaria.

Al comparar versiones:

Las versiones DEBEN compararse numéricamente, no lexicográficamente.
Las versiones principales DEBEN compararse primero:
- Si las versiones principales difieren, la versión con la versión principal más alta se considera más reciente.
- Si las versiones principales son iguales, proceda a comparar las versiones secundarias.
Las versiones secundarias DEBEN compararse solo cuando las versiones principales son iguales:
- La versión con la versión secundaria más alta se considera más reciente.

Ejemplos de comparación:

1.0 < 2.0
1.1 < 1.2
1.10 > 1.2

2. Manifiesto del Repositorio

2.1 Descripción General

El archivo de manifiesto proporciona metadatos sobre un repositorio de datos VEX. Este archivo DEBE contener la información necesaria para recuperar y actualizar los datos VEX.

2.2 Ubicación del Archivo

Para HTTPS: el archivo de manifiesto DEBE ubicarse en https://<domain>/.well-known/vex-repository.json
Para repositorios de GitHub: vex-repository.json DEBE colocarse en el directorio raíz de la rama principal.

2.3 Esquema

El esquema JSON del archivo de manifiesto se define aquí.

2.4 Ejemplo

{
  "name": "Example Org VEX Repository",
  "description": "VEX repository for Example Organization",
  "versions": [
    {
      "spec_version": "0.1",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v0/vex-data-v0.tar.gz"
        }
      ],
      "update_interval": "24h",
      "repository_specific": {
        "location": {
          "repository_type": "db",
          "db_type": "bbolt",
          "url": "oci://ghcr.io/example.com/vex-db:0"
        }
      }
    },
    {
      "spec_version": "1.0",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v1/vex-data-v1.tar.gz//subdirectory"
        },
        {
          "url": "https://example.com/vex-api/v1"
        }
      ],
      "update_interval": "1h"
    }
  ]
}

2.5 Descripciones de Campos y Notas de Uso

Campos Principales

Campo	Requerido	Descripción y Notas de Uso
name	✓	El nombre del repositorio.
description	✓	Una breve descripción del repositorio.
versions	✓	Un arreglo que contiene detalles de las versiones disponibles. Cada objeto del arreglo representa una versión que implementa una versión de la Especificación del Repositorio VEX. Las versiones DEBEN ordenarse en orden ascendente, de la más antigua a la más reciente. Consulte la tabla separada para los subcampos.

Subcampos de versions

Campo	Requerido	Descripción y Notas de Uso
spec_version	✓	La versión de la Especificación del Repositorio VEX implementada (p. ej., "0.1"). El formato DEBE ser "X.Y" según se define en la sección 1.
locations	✓	Un arreglo de objetos que describen las ubicaciones de datos VEX. DEBE contener al menos un objeto de ubicación. Consulte la tabla separada para los subcampos.
update_interval	✓	El intervalo recomendado de verificación de actualizaciones para los datos VEX de esta versión. Utiliza el formato de duración de Go (p. ej., "1h", "30m", "24h").
repository_specific	-	Información adicional específica del repositorio.

vex-repo-spec

Más Populares