VEX रिपॉजिटरी विनिर्देश v0.1

• VEX रिपॉजिटरी विनिर्देश v0.1
  • 1. संस्करण
  • 2. रिपॉजिटरी मैनिफेस्ट
    • 2.1 अवलोकन
    • 2.2 फ़ाइल स्थान
    • 2.3 स्कीमा
    • 2.4 उदाहरण
    • 2.5 फ़ील्ड विवरण और उपयोग नोट्स
      • मुख्य फ़ील्ड
      • संस्करण उप-फ़ील्ड
      • लोकेशन उप-फ़ील्ड
  • 3. रिपॉजिटरी संरचना
    • 3.1 फ़ाइल संरचना
    • 3.2 index.json
    • 3.3 VEX दस्तावेज़
    • 3.4 उपयोग नोट्स
      • निर्देशिका संरचना
      • VEX दस्तावेज़ सामग्री
    • 3.5 रिपॉजिटरी को अद्यतन करना
  • 4. रिपॉजिटरी वितरण
    • 4.1 अवलोकन
    • 4.2 संग्रह प्रारूप
  • 5. क्लाइंट कार्यान्वयन दिशानिर्देश
    • 5.1 संस्करण चयन
    • 5.2 लोकेशन चयन
    • 5.3 एकाधिक रिपॉजिटरी समर्थन
      • रिपॉजिटरी प्राथमिकता
    • 5.4 अद्यतनों की जाँच
    • 5.5 दक्षता रणनीतियाँ

इस दस्तावेज़ में कीवर्ड "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", और "OPTIONAL" की व्याख्या RFC 2119 में वर्णित अनुसार की जानी है।

1. संस्करण

• VEX (Vulnerability Exploitability eXchange) रिपॉजिटरी विनिर्देश को vX.Y संस्करण का उपयोग करना आवश्यक (MUST) है।
• v1.0 और उसके बाद के लिए:
  • X (मुख्य संस्करण) को ब्रेकिंग परिवर्तनों के लिए अद्यतन करना आवश्यक (MUST) है।
  • Y (लघु संस्करण) को पिछड़े-संगत परिवर्तनों के लिए अद्यतन करना आवश्यक (MUST) है।
• v0.Y संस्करणों के लिए, लघु संस्करण अद्यतनों के साथ ब्रेकिंग परिवर्तन हो सकते हैं (MAY)।

संस्करणों की तुलना करते समय:

• संस्करणों की तुलना संख्यात्मक रूप से की जानी आवश्यक (MUST) है, शब्दकोशीय रूप से नहीं।
• मुख्य संस्करणों की तुलना पहले की जानी आवश्यक (MUST) है:
  • यदि मुख्य संस्करण भिन्न हैं, तो उच्च मुख्य संस्करण वाला संस्करण नया माना जाता है।
  • यदि मुख्य संस्करण समान हैं, तो लघु संस्करणों की तुलना करने के लिए आगे बढ़ें।
• लघु संस्करणों की तुलना केवल तभी आवश्यक (MUST) है जब मुख्य संस्करण समान हों:
  • उच्च लघु संस्करण वाला संस्करण नया माना जाता है।

उदाहरण तुलनाएँ:

• 1.0 < 2.0
• 1.1 < 1.2
• 1.10 > 1.2

2. रिपॉजिटरी मैनिफेस्ट

2.1 अवलोकन

मैनिफेस्ट फ़ाइल VEX डेटा रिपॉजिटरी के बारे में मेटाडेटा प्रदान करती है। इस फ़ाइल में VEX डेटा प्राप्त करने और अद्यतन करने के लिए आवश्यक जानकारी होनी चाहिए (MUST)।

2.2 फ़ाइल स्थान

• HTTPS के लिए: मैनिफेस्ट फ़ाइल https://<domain>/.well-known/vex-repository.json पर स्थित होना आवश्यक (MUST) है।
• GitHub रिपॉजिटरी के लिए: vex-repository.json को मुख्य शाखा की रूट निर्देशिका में रखा जाना आवश्यक (MUST) है।

2.3 स्कीमा

मैनिफेस्ट फ़ाइल के लिए JSON स्कीमा यहाँ परिभाषित है।

2.4 उदाहरण

{
  "name": "Example Org VEX Repository",
  "description": "VEX repository for Example Organization",
  "versions": [
    {
      "spec_version": "0.1",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v0/vex-data-v0.tar.gz"
        }
      ],
      "update_interval": "24h",
      "repository_specific": {
        "location": {
          "repository_type": "db",
          "db_type": "bbolt",
          "url": "oci://ghcr.io/example.com/vex-db:0"
        }
      }
    },
    {
      "spec_version": "1.0",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v1/vex-data-v1.tar.gz//subdirectory"
        },
        {
          "url": "https://example.com/vex-api/v1"
        }
      ],
      "update_interval": "1h"
    }
  ]
}

2.5 फ़ील्ड विवरण और उपयोग नोट्स

मुख्य फ़ील्ड

फ़ील्ड	आवश्यक	विवरण और उपयोग नोट्स
name	✓	रिपॉजिटरी का नाम।
description	✓	रिपॉजिटरी का संक्षिप्त विवरण।
versions	✓	उपलब्ध संस्करणों के विवरण वाली एक सरणी। सरणी का प्रत्येक ऑब्जेक्ट एक संस्करण का प्रतिनिधित्व करता है जो VEX रिपॉजिटरी विनिर्देश के एक संस्करण को लागू करता है। संस्करणों को आरोही क्रम में, सबसे पुराने से नवीनतम तक क्रमबद्ध होना आवश्यक (MUST) है। उप-फ़ील्ड के लिए अलग तालिका देखें।

संस्करण उप-फ़ील्ड

फ़ील्ड	आवश्यक	विवरण और उपयोग नोट्स
spec_version	✓	लागू किए गए VEX रिपॉजिटरी विनिर्देश का संस्करण (जैसे, "0.1")। प्रारूप "X.Y" होना आवश्यक (MUST) है, जैसा कि अनुभाग 1 में परिभाषित है।
locations	✓	VEX डेटा लोकेशन का वर्णन करने वाले ऑब्जेक्ट्स की एक सरणी। इसमें कम से कम एक लोकेशन ऑब्जेक्ट होना आवश्यक (MUST) है। उप-फ़ील्ड के लिए अलग तालिका देखें।
update_interval	✓	इस संस्करण के VEX डेटा के लिए अनुशंसित अद्यतन जाँच अंतराल। Go अवधि प्रारूप का उपयोग करता है (जैसे, "1h", "30m", "24h")।
repository_specific	-	अतिरिक्त रिपॉजिटरी-विशिष्ट जानकारी।

लोकेशन उप-फ़ील्ड

फ़ील्ड	आवश्यक	विवरण और उपयोग नोट्स
url	✓	VEX डेटा लोकेशन के लिए URL, जो "https://" से शुरू होता है। सामग्री अनुभाग 3 और 4 में दी गई रिपॉजिटरी संरचना विनिर्देशों का पालन करती है। URL में '//' के बाद उपनिर्देशिका पथ जोड़कर एक उपनिर्देशिका निर्दिष्ट की जा सकती है।

3. रिपॉजिटरी संरचना

3.1 फ़ाइल संरचना

रिपॉजिटरी में निम्नलिखित संरचना होना आवश्यक (MUST) है:

vex-repository.<archive_extension>
[optional_subdirectory/]
├── index.json
└── pkg/
    ├── <type>/
    │   ├── <namespace>/
    │   │   ├── <name>/
    │   │   │   └── vex.json
    │   │   └── ...
    │   └── ...
    └── ...