Why is generating an SBOM for C/C++ so hard?

C and C++ have no standard dependency manifest like package.json or go.mod. Components are vendored into the source tree, pulled through git submodules, or fetched by ad-hoc scripts, so no two projects look alike and generic tools miss most of the tree.

Does lynkctl need to change my build system?

No. lynkctl is a post-build generator: it runs after your existing build finishes, so there is no rebuild, no doubled CI time, and no dependence on any one build system.

Which toolchains does it work with?

Common embedded build systems and compilers, including CMake, GNU Make, IAR Embedded Workbench and TI Code Composer Studio. Support for Keil µVision, Eclipse-based IDEs and TASKING is in the works. lynkctl stays independent of any single one, so mixing or switching toolchains does not break it.

Can it run in an air-gapped environment?

Yes. lynkctl runs on-premises and air-gapped by default, so nothing about your source or build has to leave your network.

How is this different from binary analysis or generic SCA?

Binary analysis guesses at components after the fact, and generic SCA tools such as syft and Trivy are built for the package-manager ecosystems C and C++ do not have, so they catalog package-managed software well but miss the vendored and compiled code that has no manifest. lynkctl produces a structured SBOM with per-component evidence tied to your real build, which is what an auditor can trust.

Interlynk · SBOM-generator voor embedded C/C++

C/C++ SBOM-generator voor embedded software

lynkctl, de commerciële generator van Interlynk, begrijpt uw build en genereert CycloneDX- of SPDX-SBOM's met bewijs per component, deterministische output en een volledig air-gapped runtime. Gebouwd voor teams die uitleveren onder FDA, EU CRA en ISO/SAE 21434.

On-premises • Standaard air-gapped • CycloneDX + SPDX • Deterministische output

Diagram: projectbestanden uit IAR, Keil, TI, Make en CMake gaan naar lynkctl, dat er een SBOM in CycloneDX 1.6+ of SPDX 3.0+ met bewijs van maakt. Geen upload van binaire bestanden, geen netwerkverkeer.

Vertrouwd door beveiligings- en complianceteams bij meer dan 100 gereguleerde bedrijven in

MedTech

SAMD

AISaMD

FinTech

Energie

eSports

Consumer SaaS

MedTech

Vertrouwd door 100+ beveiligings- en complianceteams in

MedTech

SAMD

AISaMD

FinTech

Energie

eSports

Consumer SaaS

MedTech

Vertrouwd door 100+ in

SiMD

SaMD

AISaMD

FinTech

Energy

eSports

Consumer SaaS

SiMD

HET PROBLEEM

Embedded C/C++ breekt elke SBOM-tool die voor de wereld van package managers is gebouwd.

C/C++-projecten hebben geen standaard afhankelijkheidsmanifest. Er is geen `package.json`, geen `Cargo.toml`, geen `go.mod`. Componenten worden in de broncodeboom ingebed (vendored), via Git-submodules binnengehaald of door ad-hocscripts opgehaald, en geen twee projecten zien er hetzelfde uit. (Waarom dit het genereren van SBOM's zo lastig maakt →)

Bestaande SBOM-tools falen op een van drie manieren. Build-time-tools haken in op uw compilatie, verdubbelen de CI-tijd en vereisen exact de release-toolchain. Build-system-gebonden tools koppelen zich aan één build-systeem en breken zodra uw project er niet in past. Whole-tree-scanners geven het op en retourneren elk bestand onder `src/`: ruis voor een auditor, risico voor een release-engineer.

C/C++-projecten hebben geen standaard afhankelijkheidsmanifest. Er is geen `package.json`, geen `Cargo.toml`, geen `go.mod`. Componenten worden in de broncodeboom ingebed (vendored), via Git-submodules binnengehaald of door ad-hocscripts opgehaald, en geen twee projecten zien er hetzelfde uit. (Waarom dit het genereren van SBOM's zo lastig maakt →)

Bestaande SBOM-tools falen op een van drie manieren. Build-time-tools haken in op uw compilatie, verdubbelen de CI-tijd en vereisen exact de release-toolchain. Build-system-gebonden tools koppelen zich aan één build-systeem en breken zodra uw project er niet in past. Whole-tree-scanners geven het op en retourneren elk bestand onder `src/`: ruis voor een auditor, risico voor een release-engineer.

lynkctl, de SBOM-generator van Interlynk, is niets van dat alles. Hij is een post-build-generator: hij draait na uw bestaande build, dus geen rebuild en geen verdubbelde CI-tijd. Hij blijft onafhankelijk van uw build-systeem, zodat het wisselen of combineren van CMake, Conan of iets anders hem niet breekt. En anders dan een gok over de hele bestandsboom levert lynkctl een gestructureerde SBOM met bewijs per component waar een auditor echt op kan vertrouwen. (Een SBOM uit een CMake-build genereren →)

Gebouwd voor teams in IoT, automotive en medische hulpmiddelen die onder auditvereisten uitleveren.

lynkctl, de SBOM-generator van Interlynk, is niets van dat alles. Hij is een post-build-generator: hij draait na uw bestaande build, dus geen rebuild en geen verdubbelde CI-tijd. Hij blijft onafhankelijk van uw build-systeem, zodat het wisselen of combineren van CMake, Conan of iets anders hem niet breekt. En anders dan een gok over de hele bestandsboom levert lynkctl een gestructureerde SBOM met bewijs per component waar een auditor echt op kan vertrouwen. (Een SBOM uit een CMake-build genereren →)

Gebouwd voor teams in IoT, automotive en medische hulpmiddelen die onder auditvereisten uitleveren.

IN ACTIE

lynkctl op een echte IAR-firmwarebuild

Een STM32L073-project met FreeRTOS, lwIP, FatFs, mbedTLS en libmodbus rechtstreeks in de broncode opgenomen.

HOE HET WERKT

Vier dingen die lynkctl doet en generieke SCA-tools niet.

Toolchain-native, van boven tot onder

lynkctl benoemt wat het leest: GNU Make, CMake en IAR Embedded Workbench op de laag van het buildsysteem, en daaronder de daadwerkelijke aanroepen van gcc, clang, ld, iccarm en ilink die zij genereren. Geen generieke broncodescanner.

Bewijs en betrouwbaarheid bij elk component

Elk component dat lynkctl genereert draagt een bewijsrecord: het bronbestand, de compileregel, het include-pad en een betrouwbaarheidsniveau. Als we ergens onzeker over zijn, melden we dat, in de SBOM én in de diagnostiek.

Deterministisch en toetsbaar

Dezelfde broncodeboom levert een byte-identieke SBOM op. Geen ingebedde timestamps of niet-deterministische ordening, zodat u twee builds kunt diffen en precies kunt zien wat er is veranderd.

Air-gapped runtime

Vendored code wordt via fingerprinting vergeleken met onze speciaal gebouwde open-source-software-index voor embedded C/C++, FreeRTOS, lwIP, Mbed TLS, FatFs en de long tail, gecureerd door Interlynk en wekelijks ververst. De index wordt met lynkctl meegeleverd en draait volledig offline. Geen netwerkverkeer; hetzelfde gedrag op een ontwikkellaptop als in een SCIF.

TOOLCHAIN-DEKKING

Werkt het met uw toolchain?

Twee lagen van ondersteuning: het buildsysteem waarmee uw team uitlevert, en de compilers en linkers die het daadwerkelijk aanroept. Dit is wat er vandaag beschikbaar is, en wat eraan komt.

Buildsystemen

GNU Make

Makefile-gestuurde C/C++-projecten.

CMake

Genereert Make-, Ninja- of IDE-projecten uit CMakeLists.txt.

IAR Embedded Workbench

Propriëtaire embedded IDE en toolchain; .ewp-projectbestanden.

TI Code Composer Studio

Code Composer Studio voor TI-MCU's.

Keil µVision

Ontwikkelomgeving voor ARM Cortex-M.

Eclipse

IN ONTWIKKELING

Embedded IDE's op basis van Eclipse CDT.

TASKING

IN ONTWIKKELING

Automotive-toolchain voor AURIX en RH850.

Compilers & linkers

gcc

Compiler · GNU

clang

Compiler · LLVM-frontend

LLVM

Compilerinfrastructuur · ligt onder Clang

ld

Linker · GNU

iccarm

Compiler · IAR voor ARM

ilink / ilinkarm

Linker · IAR

Versiebeheer

Git

Herkomst van componenten uit .git-repository's.

Git-submodules

Submodule-pointers herleid tot upstream-bronnen met commit-pinning.

SVN

IN ONTWIKKELING

Subversion-repository's.

Microcontrollerfamilies

STM32

STMicroelectronics STM32-microcontrollers.

Infineon

Infineon PSOC- en XMC-microcontrollers.

NXP

NXP-microcontrollerfamilies.

Nordic

IN ONTWIKKELING

Draadloze SoC's en microcontrollers.

Renesas

IN ONTWIKKELING

Renesas-microcontrollerfamilies.

Silicon Labs

IN ONTWIKKELING

Draadloze SoC's en microcontrollers van Silicon Labs.

Infineon AURIX

IN ONTWIKKELING

Veiligheids-MCU’s voor automotive.

Packagemanagers

vcpkg

IN ONTWIKKELING

C/C++-packagebeheer.

Conan

IN ONTWIKKELING

C- en C++-packagebeheer.

GEREGULEERDE SECTOREN

Gebouwd voor producten die onder toezicht worden uitgeleverd.

FDA · 524B

Medische hulpmiddelen

Fabrikanten van medische hulpmiddelen moeten een SBOM opnemen in premarket-indieningen onder Sectie 524B. lynkctl produceert CycloneDX-output met het bewijsspoor dat een auditor verwacht, en draait volledig on-premises, zodat apparaatfirmware nooit uw buildomgeving verlaat.

EU · CRA

Industrieel & consument

De EU Cyber Resilience Act verplicht fabrikanten om gedurende de ondersteunde levenscyclus van elk product een SBOM bij te houden. Door de deterministische output en confidence-scoring van lynkctl is het bewijs voor CRA Annex I toetsbaar, niet alleen aanwezig.

ISO/SAE 21434 · UN R155

Automotive

Tier 1- en OEM-leveranciers krijgen te maken met SBOM-vereisten tot op het niveau van de ECU. De IAR- en CMake-providers van lynkctl ondersteunen de toolchains die de meeste embedded teams in de automotive al gebruiken, zonder de build te herschrijven. Ondersteuning voor TASKING (AURIX en RH850) is in ontwikkeling.

VERGELIJKING

Gangbare benaderingen voor embedded SBOM's.

Source-SCA-tools vervallen in een van de drie hierboven beschreven faalmodi. Binaire analyse is een heel ander spoor, nuttig voor ondoorzichtige firmware, maar geen hulp wanneer u de broncode in handen hebt. lynkctl is de vierde weg: post-build, bewust van het buildsysteem, zonder dat een rebuild nodig is.(Hoe je firmware-SBOM-nauwkeurigheid over deze aanpakken heen beoordeelt →)

	BINAIRE ANALYSE	GENERIEKE SOURCE-SCA	LYNKCTL
Heeft broncode nodig	Nee	Ja	Ja
Voegt een buildstap toe aan uw CI	Nee	Vaak	Nee
Kent embedded toolchains als volwaardige inputs	Nee	Nee	Ja
Verwerkt vendored code	Gedeeltelijk	Gedeeltelijk	Ja (embedded open-source-software-index)
Bewijsspoor per component	Zelden	Zelden	Ja
Standaard air-gapped	Soms	Zelden	Ja
Beste voor	Onbekende firmware	Server-side codebases	Embedded C/C++ onder audit

BOMTIQUE

FDA · 524B

ALS INTROSPECTIE NIET PAST

Sommige projecten passen bij geen enkele generator, componenten zijn vendored, gepatcht of met de hand samengevoegd uit upstream-bronnen. Of misschien wilt u simpelweg volledige redactionele controle over wat er in de SBOM terechtkomt, zonder een commerciële licentie in de keten.

bomtique is onze open-source toolkit voor handmatig opgestelde SBOM's. U schrijft een klein, toetsbaar manifest van uw componenten; bomtique genereert daar een deterministische CycloneDX- of SPDX-SBOM uit. Dezelfde toetsbare bewijsfilosofie als lynkctl, dezelfde air-gapped runtime, volledig onder uw beheer. Apache 2.0, op GitHub.

$ bomtique manifest add \
    --name FreeRTOS-Kernel --version 10.6.1 \
    --license MIT \
    --vendored-at third_party/FreeRTOS-Kernel
# wrote .components.json
$ bomtique scan --format cyclonedx --out ./sbom
# wrote sbom/firmware-1.0.0.cdx.json

DE STACK

Generatie is één onderdeel. De rest van de levenscyclus woont eveneens in Interlynk.

lynkctl sluit aan op de rest van onze stack: open-source tools voor SBOM-kwaliteit, assemblage en handmatige curatie, en het Interlynk-platform voor SBOM- en VEX-beheer gedurende de hele productlevenscyclus. CycloneDX-native over de hele linie.

lynkctl

COMMERCIEEL

SBOM-generator voor embedded C/C++-toolchains. Deze pagina.

bomtique

OSS

Handmatig opgestelde SBOM's voor projecten waar introspectie niet past.

sbomqs

OSS

SBOM-kwaliteitsscoring: verifieer wat u produceert.

sbomasm

OSS

Stel multi-component-SBOM's samen over producten heen.

FAQ

C/C++ SBOM-FAQ

Waarom is een SBOM genereren voor C/C++ zo moeilijk?

C en C++ hebben geen standaard afhankelijkheidsmanifest zoals package.json of go.mod. Componenten worden in de broncodeboom vendored, via git-submodules binnengehaald of door ad-hocscripts opgehaald, waardoor geen twee projecten er hetzelfde uitzien en generieke tools het grootste deel van de boom missen.

Moet lynkctl mijn buildsysteem wijzigen?

Met welke toolchains werkt het?

Kan het draaien in een air-gapped omgeving?

Hoe verschilt dit van binaire analyse of generieke SCA?

Trusted by security and compliance teams at 100+ regulated companies

Audit-ready SBOM. With every build.

Interlynk automates SBOMs, manages open source risks, monitors suppliers, and prepares you for the post-quantum era, all in one trusted platform.

Trusted by security and compliance teams at 100+ regulated companies

Audit-ready SBOM. With every build.

Interlynk automates SBOMs, manages open source risks, monitors suppliers, and prepares you for the post-quantum era, all in one trusted platform.

Trusted by security and compliance teams at 100+ regulated companies

Audit-ready SBOM. With every build.

Interlynk automates SBOMs, manages open source risks, monitors suppliers, and prepares you for the post-quantum era, all in one trusted platform.