CycloneDX 从 1.6 版（2024年）起把密码资产建模为类型为 cryptographic-asset 的组件，带有 algorithmProperties（原语、参数集、模式、NIST 量子安全级别）、证书属性和协议属性（TLS 版本、密码套件）等属性，并把它们与使用它们的代码和服务关联起来。扫描器可以从源代码、二进制文件、网络流量和证书存储中生成 CBOM。
CBOM 能回答迁移需要回答的问题：哪里在使用 RSA-2048，哪些服务仍在协商 TLS 1.2、没有使用混合密钥交换，哪些证书在2030年之后过期，哪些库需要升级。CBOM 只有保持更新才有用，这意味着要在 CI 中持续生成，而不是只生成一次。