审计留痕核心机制

审计留痕是 SBOM 元数据同步中确保可追溯、不可抵赖、可复现的关键能力。本节围绕三大核心机制展开：审计日志的标准化定义、不可篡改记录的技术实现（区块链与哈希链）、以及可信时间戳服务。三者共同构成审计留痕的“铁三角”。

3.1 审计日志定义

审计日志是记录 SBOM 元数据同步过程中所有关键操作的结构化、不可逆的事件序列。每条日志必须包含以下核心字段：

3.2 不可篡改记录：哈希链与区块链

不可篡改记录是审计留痕的信任基石。本节介绍两种主流实现方案：哈希链（轻量级，适合内部系统）和区块链（去中心化，适合跨组织协作）。

3.2.1 哈希链机制

哈希链通过将每条审计日志的哈希值链接到下一条日志中，形成一条单向、不可逆的链条。任何对历史日志的篡改都会导致后续所有哈希值不匹配，从而被快速检测。

// 哈希链核心逻辑（伪代码）
function appendLog(prevLog, newEntry):
    prevHash = SHA256(serialize(prevLog))
    newEntry.hashPrev = prevHash
    newEntry.hashSelf = SHA256(serialize(newEntry))
    store(newEntry)
    return newEntry

// 验证函数
function verifyChain(logs):
    for i in 1..len(logs)-1:
        expectedPrev = SHA256(serialize(logs[i-1]))
        if logs[i].hashPrev != expectedPrev:
            return false  // 篡改检测
    return true

3.2.2 区块链方案

区块链通过分布式共识和加密经济激励，实现去信任环境下的不可篡改记录。在 SBOM 审计场景中，通常使用许可链（如 Hyperledger Fabric）或联盟链，以平衡性能与安全性。

3.3 时间戳服务

可信时间戳是审计留痕的时间锚点，用于证明某个 SBOM 元数据在特定时间点之前已经存在且未被篡改。常用的时间戳服务包括：

• RFC 3161 时间戳协议（TSP）： 向可信第三方（TSA）提交数据哈希，返回带有权威时间的时间戳令牌。标准、成熟、广泛支持。
• 区块链时间戳： 将数据哈希写入区块链交易，利用区块时间作为不可篡改的时间证明。适合去中心化场景。
• 分布式时间戳（如 Roughtime）： 谷歌提出的抗恶意时间源协议，通过多源交叉验证提高时间可信度。

3.3.1 时间戳集成流程

在 SBOM 审计流水线中，时间戳服务的典型集成步骤如下：

1. 计算摘要： 对审计日志或 SBOM 元数据计算 SHA-256 哈希值。
2. 请求时间戳： 将哈希值发送到 TSA 或区块链节点，请求时间戳令牌。
3. 验证时间戳： 验证返回的时间戳令牌的签名和有效性。
4. 存储时间戳： 将时间戳令牌与审计日志一同存储，作为不可篡改的时间证明。
5. 定期校验： 定期重新验证时间戳令牌的有效性，确保 TSA 证书未被吊销。

3.4 审计留痕最佳实践