Does cdxgen support C/C++?

Yes. cdxgen supports C/C++ with -t c and Java 21, and it works best when it can inspect a real build. Results can be thinner for projects with copied-in dependencies, prebuilt static archives, or hand-written Makefiles that expose little dependency metadata.

Is lynkctl only for embedded C/C++?

No. lynkctl generates build-aware SBOMs for embedded C/C++, and it also covers 12 manifest ecosystems, including Node, Python, Java, Go, Rust, Ruby, PHP, and .NET. It emits both CycloneDX 1.6+ and SPDX 3+, and it runs fully offline.

Can I use cdxgen and lynkctl together?

Yes, and many teams do. Run cdxgen for general-purpose applications and lynkctl for embedded firmware. Both produce CycloneDX, so the results live in the same Interlynk inventory.

Is lynkctl open source?

lynkctl is Interlynk’s commercial generator. The lynkctl-public repository has the documentation, CI templates, and benchmark methodology, and Interlynk’s open-source toolkit adds tools such as sbomqs and sbomasm.

Which toolchains does lynkctl support?

GNU Make, CMake, IAR Embedded Workbench, and TI Code Composer Studio, plus STM32CubeMX .ioc metadata for target and package context. It supports STM32, Infineon, and NXP MCUs today, with more on the roadmap.

Neu

SBOM für Embedded C/C++

Vergleichen

cdxgen vs lynkctl: SBOM für Embedded C/C++

cdxgen ist für die meisten Software-Stacks eine gute Wahl. Embedded-C/C++-Firmware ist schwieriger, weil die Abhängigkeiten meist gar nicht in einem Paket-Manifest stehen.

cdxgen ist ein schneller, weit verbreiteter Generator und das offizielle CycloneDX-Tool. Über Node, Python, Java, Go und Container hinweg macht es seine Sache gut.

Firmware ist ein Problem anderer Art. Ein typischer Embedded-C/C++-Build zieht aus einem Makefile, CMake- oder IAR-Projekt, aus Hersteller-SDKs, hineinkopierten Bibliotheken und vorkompilierten statischen Archiven, und ein Großteil der Abhängigkeitsinformationen steckt im Build selbst statt in einem Manifest. lynkctl deckt diese gängigen Manifest-Ökosysteme ebenfalls ab, deshalb konzentriert sich dieser Vergleich auf Embedded C/C++, wo sich die beiden Tools am stärksten unterscheiden.

SBOMs werden in regulierten Umgebungen grundlegend für die Produktsicherheit, weshalb die Auswahl der Tools für Sicherheit, Compliance und Entwicklereffizienz entscheidend ist.

Dieser Bericht vergleicht Interlynk und Dependency-Track, zwei weit verbreitete Tools, die verschiedene Aspekte der SBOM-Automatisierung abdecken.

Dependency-Track konzentriert sich hauptsächlich auf selbstverwaltete, selbstgehostete SBOM-Workflows mit Schwachstellen- und Lizenzprüfung im Kern.

Interlynk bietet eine umfassende SBOM-Plattform, die SBOM und VEX über den gesamten Produktentwicklungszyklus automatisiert.
Im Vergleich zu Interlynk fehlen Dependency-Track die Verwaltung der SBOM-Datenqualität und die vollständige SPDX-Unterstützung.
Dependency-Track fehlt auch die Komposition und die Anreicherungsworkflows, native Entwicklerintegrationen und KI-unterstützte Analysen.
Dependency-Track bietet keine automatischen regulatorischen Updates oder unternehmensgerechten Support.

Vertraut von über 6.000 Entwicklern in

MedTech

SAMD

AISaMD

FinTech

OT

Energie

eSport

Verbraucher-SaaS

✨

Connect to Content

Add layers or components to infinitely loop on your page.

Loslegen

Bitte füllen Sie Ihre Daten aus und wir melden uns innerhalb von 24 Stunden bei Ihnen.

Vertraut von Sicherheits- und Compliance-Teams in über 100 regulierten Unternehmen

MedTech

SAMD

AISaMD

FinTech

Energie

eSports

Consumer SaaS

MedTech

Funktionen

Ansatz

Toolchain-Unterstützung

STM32CubeMX .ioc

Linker-Map-bewusst

Hineinkopierter Quellcode (lwIP, mbedTLS)

Statische .a-Archive

Inventarumfang

Sprachabdeckung

Ausgabeformate

Betrieb

Lizenz

lynkctl

Build-bewusst + Manifeste

Liest Embedded-C/C++-Builds und Manifest-Ökosysteme

Nativ

GNU Make, CMake, IAR, TI Code Composer Studio

✅

Ziel- und Paketkontext aus .ioc

✅

Sieht, was tatsächlich ins Image gelinkt wurde

Abgleich mit kuratiertem Index

Erkennt hineinkopierte Komponenten

Build- und Link-Korrelation

Über den Dateinamen hinaus

Nur kompiliert und gelinkt

Dead-Strip- und LTO-bewusst; auf das Ziel beschränkt

Manifest-Ökosysteme + Embedded

12 Provider: Node, Python, Java, Go, Rust, Ruby, PHP, .NET, Gradle, Gleam, plus build-fundiertes C/C++

CycloneDX + SPDX

CycloneDX 1.6+ und SPDX 3+, schemavalidiert

Air-gapped

Keine Netzwerkaufrufe; läuft vollständig offline

Kommerziell

von Interlynk

cdxgen

Manifestbasiert

Paket-Manifeste über viele Ökosysteme

Generisches C/C++

-t c, am besten mit echtem Build, benötigt Java 21

🚫

Wird nicht ausgewertet

🚫

Wird nicht genutzt

Manifestabhängig

Wird evtl. übersehen, wenn nicht deklariert

Nur Dateiname

Wenig weiterer Kontext

Gesamtes Hersteller-Verzeichnis

Kann den Build überzeichnen

Breite Sprachen + Container

Viele Ökosysteme und Container-Images

CycloneDX

Nur CycloneDX

Standardmäßig online

Ruft oft Lizenz-/Schwachstellendaten ab

Open Source

kostenlos, selbst betrieben

cdxgen vs lynkctl

Ansatz

lynkctl

Build-bewusst + Manifeste

Liest Embedded-C/C++-Builds und Manifest-Ökosysteme

cdxgen

Manifestbasiert

Paket-Manifeste über viele Ökosysteme

Toolchain-Unterstützung

Nativ

GNU Make, CMake, IAR, TI Code Composer Studio

Generisches C/C++

-t c, am besten mit echtem Build, benötigt Java 21

STM32CubeMX .ioc

✅

Ziel- und Paketkontext aus .ioc

🚫

Wird nicht ausgewertet

Linker-Map-bewusst

✅

Sieht, was tatsächlich ins Image gelinkt wurde

🚫

Wird nicht genutzt

Hineinkopierter Quellcode (lwIP, mbedTLS)

lynkctl - Abgleich mit kuratiertem Index

cdxgen - Manifestabhängig: Wird evtl. übersehen, wenn nicht deklariert

Statische .a-Archive

lynkctl - Build- und Link-Korrelation: Über den Dateinamen hinaus

cdxgen - Nur Dateiname: Wenig weiterer Kontext

Inventarumfang

lynkctl - Nur kompiliert und gelinkt: Dead-Strip- und LTO-bewusst; auf das Ziel beschränkt

cdxgen - Gesamtes: Hersteller-Verzeichnis Kann den Build überzeichnen

Sprachabdeckung

lynkctl - Manifest-Ökosysteme + Embedded: 12 Provider: Node, Python, Java, Go, Rust, Ruby, PHP, .NET, Gradle, Gleam, plus build-fundiertes C/C++

cdxgen - Breite Sprachen + Container: Viele Ökosysteme und Container-Images

Ausgabeformate

lynkctl - CycloneDX + SPDX: CycloneDX 1.6+ und SPDX 3+, schemavalidiert

cdxgen - CycloneDX: Nur CycloneDX

Betrieb

lynkctl - Air-gapped: Keine Netzwerkaufrufe; läuft vollständig offline

cdxgen - Standardmäßig online: Ruft oft Lizenz-/Schwachstellendaten ab

Lizenz

lynkctl - Kommerziell: von Interlynk

cdxgen - Open Source: kostenlos, selbst betrieben

ALTERNATIVEN

Weitere SBOM-Tools für Embedded

Wenn Sie Optionen für Firmware-SBOMs abwägen, kommen diese neben cdxgen und lynkctl ins Spiel.

lynkctl

EMBEDDED + MANIFEST

Build-bewusste SBOMs für Embedded C/C++ mit Make, CMake, IAR und TI CCS, plus 12 Manifest-Ökosysteme. CycloneDX und SPDX, läuft air-gapped, mit Linker-Map- und Vendored-Source-Erkennung.

Syft

CONTAINER + PAKETE

Beliebter Open-Source-Generator vom Anchore-Team, am stärksten bei Containern und Paket-Ökosystemen.

Trivy

SCANNING

Weit verbreiteter Open-Source-Scanner und SBOM-Generator für Container und paketbasierte Projekte.

RunSafe Security

FIRMWARE

SBOM- und Speichersicherheits-Schutz für C/C++ und Embedded-Systeme.

Manifest Cyber

SBOM-MANAGEMENT

Plattform für SBOM-Management und Software-Lieferkettensicherheit.

Innomatica embtrace

OSS EMBEDDED

Open-Source-SBOM-Generator für Embedded-Builds: CMake, Yocto, Buildroot und Zephyr.

ENTSCHEIDUNG

Die ehrliche Version

cdxgen kommt mit den meisten Projekten gut zurecht. Bei Firmware wird es dünn, dort, wo die eigentlichen Abhängigkeiten in den Quellbaum kopiert oder in statischen Archiven vergraben sind, die ein Manifest nie beschreibt. lynkctl wurde gebaut, um genau diese aus dem tatsächlichen Build herauszuholen.

Zum vollen Hintergrund, warum Firmware schwierig ist, siehe „The State of SBOM Generation for C/C++". Für eine cdxgen-Anleitung siehe „How to Generate a CycloneDX SBOM with cdxgen".

ENTSCHEIDUNG

Die ehrliche Version

Zum vollen Hintergrund, warum Firmware schwierig ist, siehe „The State of SBOM Generation for C/C++". Für eine cdxgen-Anleitung siehe „How to Generate a CycloneDX SBOM with cdxgen".

ENTSCHEIDUNG

Die ehrliche Version

Zum vollen Hintergrund, warum Firmware schwierig ist, siehe „The State of SBOM Generation for C/C++". Für eine cdxgen-Anleitung siehe „How to Generate a CycloneDX SBOM with cdxgen".

Häufig gestellte Fragen

Weitere Fragen? Kontaktieren Sie uns jetzt.

Unterstützt cdxgen C/C++?

Ja. cdxgen unterstützt C/C++ mit -t c und Java 21 und funktioniert am besten, wenn es einen echten Build inspizieren kann. Bei Projekten mit hineinkopierten Abhängigkeiten, vorkompilierten statischen Archiven oder handgeschriebenen Makefiles, die kaum Abhängigkeits-Metadaten preisgeben, können die Ergebnisse dünner ausfallen.

Ist lynkctl nur für Embedded C/C++?

Nein. lynkctl erstellt build-bewusste SBOMs für Embedded C/C++ und deckt zusätzlich 12 Manifest-Ökosysteme ab, darunter Node, Python, Java, Go, Rust, Ruby, PHP und .NET. Es gibt sowohl CycloneDX 1.6+ als auch SPDX 3+ aus und läuft vollständig offline.

Kann ich cdxgen und lynkctl zusammen verwenden?

Ja, und viele Teams tun das. Nutzen Sie cdxgen für allgemeine Anwendungen und lynkctl für Embedded-Firmware. Beide erzeugen CycloneDX, sodass die Ergebnisse im selben Interlynk-Inventar landen.

Ist lynkctl Open Source?

lynkctl ist der kommerzielle Generator von Interlynk. Das Repository lynkctl-public enthält die Dokumentation, CI-Vorlagen und die Benchmark-Methodik, und das Open-Source-Toolkit von Interlynk ergänzt Tools wie sbomqs und sbomasm.

Welche Toolchains unterstützt lynkctl?

GNU Make, CMake, IAR Embedded Workbench und TI Code Composer Studio, plus STM32CubeMX-.ioc-Metadaten für Ziel- und Paketkontext. Unterstützt werden heute STM32-, Infineon- und NXP-MCUs, weitere sind auf der Roadmap.

Vertraut von Sicherheits- und Compliance-Teams in über 100 regulierten Unternehmen.

Sehen Sie Ihr Firmware-SBOM

Buchen Sie eine Demo oder sehen Sie lynkctl auf einem CMake-Build laufen.

Vertraut von Sicherheits- und Compliance-Teams in über 100 regulierten Unternehmen.

Interlynk automatisiert SBOMs, verwaltet Open-Source-Risiken, überwacht Lieferanten und bereitet Sie auf das Post-Quanten-Zeitalter vor – alles auf einer vertrauenswürdigen Plattform.

Audit-bereite SBOM. Bei jedem Build.

Vertraut von Sicherheits- und Compliance-Teams in über 100 regulierten Unternehmen.

Interlynk automatisiert SBOMs, verwaltet Open-Source-Risiken, überwacht Lieferanten und bereitet Sie auf das Post-Quanten-Zeitalter vor – alles auf einer vertrauenswürdigen Plattform.