Spécification du référentiel VEX v0.1

• Spécification du référentiel VEX v0.1
  • 1. Versionnage
  • 2. Manifeste du référentiel
    • 2.1 Présentation
    • 2.2 Emplacement du fichier
    • 2.3 Schéma
    • 2.4 Exemple
    • 2.5 Descriptions des champs et notes d'utilisation
      • Champs principaux
      • Sous-champs des versions
      • Sous-champs des emplacements
  • 3. Structure du référentiel
    • 3.1 Structure des fichiers
    • 3.2 index.json
    • 3.3 Documents VEX
    • 3.4 Notes d'utilisation
      • Structure des répertoires
      • Contenu des documents VEX
    • 3.5 Mise à jour du référentiel
  • 4. Distribution du référentiel
    • 4.1 Présentation
    • 4.2 Format d'archive
  • 5. Recommandations d'implémentation pour les clients
    • 5.1 Sélection de version
    • 5.2 Sélection d'emplacement
    • 5.3 Prise en charge de plusieurs référentiels
      • Priorisation des référentiels
    • 5.4 Vérification des mises à jour
    • 5.5 Stratégies d'efficacité

Les mots-clés « MUST », « MUST NOT », « REQUIRED », « SHALL », « SHALL NOT », « SHOULD », « SHOULD NOT », « RECOMMENDED », « MAY » et « OPTIONAL » de ce document doivent être interprétés comme décrit dans la RFC 2119.

1. Versionnage

• La spécification du référentiel VEX (Vulnerability Exploitability eXchange) DOIT utiliser un versionnage vX.Y.
• Pour v1.0 et versions ultérieures :
  • X (version majeure) DOIT être mis à jour pour les changements incompatibles.
  • Y (version mineure) DOIT être mis à jour pour les changements rétrocompatibles.
• Pour les versions v0.Y, des changements incompatibles PEUVENT survenir lors des mises à jour de version mineure.

Lors de la comparaison des versions :

• Les versions DOIVENT être comparées numériquement, et non lexicographiquement.
• Les versions majeures DOIVENT être comparées en premier :
  • Si les versions majeures diffèrent, la version ayant la version majeure la plus élevée est considérée comme plus récente.
  • Si les versions majeures sont égales, procéder à la comparaison des versions mineures.
• Les versions mineures NE DOIVENT être comparées que lorsque les versions majeures sont égales :
  • La version ayant la version mineure la plus élevée est considérée comme plus récente.

Exemples de comparaisons :

• 1.0 < 2.0
• 1.1 < 1.2
• 1.10 > 1.2

2. Manifeste du référentiel

2.1 Présentation

Le fichier manifeste fournit des métadonnées sur un référentiel de données VEX. Ce fichier DOIT contenir les informations nécessaires à la récupération et à la mise à jour des données VEX.

2.2 Emplacement du fichier

• Pour HTTPS : le fichier manifeste DOIT être situé à l'adresse https://<domain>/.well-known/vex-repository.json.
• Pour les référentiels GitHub : vex-repository.json DOIT être placé dans le répertoire racine de la branche principale.

2.3 Schéma

Le schéma JSON du fichier manifeste est défini ici.

2.4 Exemple

{
  "name": "Example Org VEX Repository",
  "description": "VEX repository for Example Organization",
  "versions": [
    {
      "spec_version": "0.1",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v0/vex-data-v0.tar.gz"
        }
      ],
      "update_interval": "24h",
      "repository_specific": {
        "location": {
          "repository_type": "db",
          "db_type": "bbolt",
          "url": "oci://ghcr.io/example.com/vex-db:0"
        }
      }
    },
    {
      "spec_version": "1.0",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v1/vex-data-v1.tar.gz//subdirectory"
        },
        {
          "url": "https://example.com/vex-api/v1"
        }
      ],
      "update_interval": "1h"
    }
  ]
}

2.5 Descriptions des champs et notes d'utilisation

Champs principaux

Champ	Requis	Description et notes d'utilisation
name	✓	Le nom du référentiel.
description	✓	Une brève description du référentiel.
versions	✓	Un tableau contenant les détails des versions disponibles. Chaque objet du tableau représente une version implémentant une version de la spécification du référentiel VEX. Les versions DOIVENT être triées par ordre croissant, de la plus ancienne à la plus récente. Voir le tableau séparé pour les sous-champs.

Sous-champs des versions

Champ	Requis	Description et notes d'utilisation
spec_version	✓	La version de la spécification du référentiel VEX implémentée (par exemple, « 0.1 »). Le format DOIT être « X.Y » comme défini à la section 1.
locations	✓	Un tableau d'objets décrivant les emplacements des données VEX. DOIT contenir au moins un objet emplacement. Voir le tableau séparé pour les sous-champs.
update_interval	✓	L'intervalle de vérification des mises à jour recommandé pour les données VEX de cette version. Utilise le format de durée Go (par exemple, « 1h », « 30m », « 24h »).
repository_specific	-	Informations supplémentaires spécifiques au référentiel.

Sous-champs des emplacements