Un hash del componente è un'impronta crittografica per un componente software, come una libreria, un pacchetto o un artefatto di build. A differenza di un nome da solo, che può essere riutilizzato, modificato o scritto in modo errato, un hash offre ai difensori un modo più preciso per identificare l'esatta versione del componente che stanno esaminando. Negli SBOM, questo rende i record più facili da confrontare tra strumenti e fornitori.
Gli hash dei componenti sono importanti perché gli aggressori spesso nascondono codice malevolo o vulnerabile all'interno di pacchetti simili, dipendenze ripacchettizzate o output di build alterati. I team di sicurezza usano gli hash per confermare se un file corrisponde a un componente noto e affidabile, per individuare manomissioni e per associare il software esposto alle informazioni sulle vulnerabilità. In pratica, un hash aiuta ad automatizzare l'inventario del software, a convalidare le dichiarazioni della supply chain e a ridurre le corrispondenze errate quando due componenti condividono lo stesso nome ma non lo stesso contenuto.