Alternativy k Chainguard

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se lépe hodí jiný nástroj.

Proč týmy hledají jiné řešení než Chainguard

Chainguard sestavuje open source software ze zdrojového kódu a dodává ho zabezpečený: image kontejnerů, které označuje jako zero-CVE, knihovny pro Javu, Python a JavaScript znovu sestavené z ověřeného zdrojového kódu, image VM a zabezpečené GitHub Actions, každé s podepsanou SBOM a SLSA provenance. Zákazníkům s objednávkou se zavazuje napravit kritické CVE do 7 dnů a ostatní závažnosti do 14 dnů od vydání odpovídající záplaty. Je to silný způsob, jak začít s čistými vstupy.

Týmy hledají jiné možnosti, když se jejich situace změní:

• Cena. Nad rámec pěti bezplatných image začíná katalog Chainguard na $19K pro tým 10 lidí. Dnes existují i bezplatné katalogy zabezpečených image.
• Rozsah. SBOM a provenance od Chainguard popisují artefakty Chainguard. Váš vlastní build a vše ostatní, co si stáhne, stále potřebuje vlastní záznam.
• Kontrola nad buildem. Čisté vstupy neomezují, kam build za běhu dosáhne, ani neukazují, co si skript stáhl.
• Migrace. Přechod na jakýkoli katalog zabezpečených image znamená změnu základních image a někdy i způsobu, jakým je sestavujete.

Na co se zaměřit

• Zda chcete zabezpečit vstupy, build, nebo obojí.
• Distribuce a architektury, které potřebujete, a nakolik jsou image přímou náhradou.
• Závazek k opravě CVE a zda vyžaduje placenou úroveň.
• Varianty pro soulad, jako FIPS a STIG, pokud prodáváte státní správě.
• SBOM a provenance a zda popisují artefakty dodavatele, nebo váš build.
• Kontrola nad tím, kam build za běhu dosáhne.

Možnosti

Možnosti 2 až 9 vám dávají zabezpečené, minimální nebo znovu sestavené image. CRACI zabezpečuje build, který je používá, a Socket zabezpečuje balíčky, které instaluje.

1. CRACI (náš produkt)

CRACI zabezpečuje softwarový dodavatelský řetězec v buildu, nikoli na jeho vstupech. Je to runner pro GitHub Actions: zatímco každý job běží, proxy, která rozumí balíčkům, zaznamenává, co si stáhl, včetně základních image, balíčků a balíčků obnovených z cache CI, a vytváří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache. Egress policy se ověřuje před spuštěním jobu a při selhání vše zablokuje (fail-closed), takže build dosáhne jen na zdroje, které povolíte. CRACI průběžně znovu vyhodnocuje SBOM toho, co bylo dodáno, a jeho zobrazení inventáře ukazuje přesně, které verze softwaru jsou nasazeny ve kterých produktech, globálně.

Nejvhodnější pro: týmy, které potřebují záznam a kontrolu každého buildu, ať používají jakékoli základní image.

Zvažte, pokud: chcete bezpečnost dodavatelského řetězce pro software, který sestavujete. CRACI nevytváří zabezpečené image ani knihovny a dnes podporuje GitHub Actions na Linuxu, GitLab CI, Jenkins, Windows a macOS jsou v plánu vývoje.

CRACI a Chainguard

2. Docker Hardened Images

Docker popisuje své zabezpečené image jako téměř bez CVE, minimální a průběžně znovu sestavované ze zdrojového kódu, na Alpine nebo Debianu. Každý image je dodáván s podepsanými SBOM, SLSA Level 3 provenance a daty o zneužitelnosti OpenVEX. K září 2026 je katalog DHI Community zdarma a open source pod licencí Apache 2.0; DHI Select, od $5,000 za repozitář, přidává SLA na opravu kritických CVE do 7 dnů a varianty FIPS a STIG a DHI Enterprise přidává neomezené přizpůsobení.

Nejvhodnější pro: bezplatný katalog zabezpečených image na známých základech Alpine a Debian.

Zvažte, pokud: chcete SLA jen pro image, které ho potřebují.

3. Echo

Echo nabízí kontejnery, knihovny, VM a balíčky OS bez zranitelností, s variantami validovanými podle FIPS a zabezpečenými podle STIG, a uvádí, že u zdroje odstraňuje 99 % nebo více zranitelností. Ceny jsou po ukázce (demo). Minimus, další dodavatel zabezpečených image, ukončuje činnost a předal svou technologii Echu; jeho registr se zavírá 22. října 2026.

Nejvhodnější pro: týmy, které chtějí zabezpečené image, knihovny a VM od jednoho dodavatele.

Zvažte, pokud: jste zákazníkem Minimus a hledáte jeho nástupce.

4. Aikido

Zabezpečené image od Aikido jsou přímou náhradou stávajících základních image a backportují bezpečnostní opravy, místo aby vynucovaly upgrade distribuce, a to i po konci podpory upstreamu. Uvádí více než 2 000 image napříč Debianem, Ubuntu a Alpine na amd64 a arm64, se SBOM, VEX a SLSA provenance u každého stažení. Začít můžete zdarma.

Nejvhodnější pro: opravu CVE v image, které už používáte, bez změny distribuce.

Zvažte, pokud: chcete také širší platformu AppSec od Aikido.

CRACI vs Aikido

5. RapidFort

RapidFort nabízí více než 35 000 vybraných image téměř bez CVE postavených na Ubuntu, RHEL, Debianu a Alpine jako přímou náhradu standardních základních image a uvádí, že odstraňují až 99,9 % CVE. Celý katalog přidává varianty zabezpečené podle CIS a DISA STIG, image FIPS 140-2 a 140-3 a export SBOM ve formátech SPDX a CycloneDX. Jeho platformová úroveň profiluje kontejnery za běhu, aby zjistila, které komponenty skutečně běží, a odstraňuje nepoužívané balíčky, čímž zmenšuje útočnou plochu až o 90 %. Pět vybraných image je zdarma; celý katalog je na základě nabídky.

Nejvhodnější pro: týmy, které chtějí zabezpečené image na distribucích, které už používají.

Zvažte, pokud: jsou pro vás profilování za běhu a zmenšení útočné plochy stejně důležité jako samotné image.

6. Bitnami Secure Images

Bitnami, dnes součást Broadcomu, prodává zabezpečené image open source aplikací na minimálním základu Photon OS: více než 350 image kontejnerů a 140 Helm chartů. Každý image je dodáván se SBOM, dokumenty VEX, výsledky skenování CVE a podpisy atestací SLSA 3 a katalog podporuje FIPS, STIG a FedRAMP. Vývojáři mohou část image používat zdarma mimo produkci, pouze s tagem latest; celý katalog se prodává přes obchod nebo marketplace Arrow.

Nejvhodnější pro: týmy, které už nasazují aplikace a Helm charty Bitnami.

Zvažte, pokud: potřebujete produkční image, které vyžadují placené předplatné.

7. Google distroless

Image distroless „obsahují pouze vaši aplikaci a její závislosti pro běh“, bez správce balíčků a bez shellu. Vycházejí z Debianu 13, jsou zdarma pod licencí Apache 2.0 a podepsané pomocí cosign. Neexistuje žádný závazek k opravě CVE; opravy přicházejí, jak je Debian vydává.

Nejvhodnější pro: menší útočnou plochu bez nákladů.

Zvažte, pokud: se v produkčních image obejdete bez shellu.

8. Iron Bank

Iron Bank je zdroj zabezpečených kontejnerů ministerstva obrany USA, součást Platform One. Dodavatelé, open source komunity a vládní týmy odesílají image, které se znovu sestavují bez přístupu k internetu, skenují se podle akceptačních kritérií Iron Bank a monitorují se každých 12 hodin. Přispěvatele ani uživatele nic nestojí, ale stahování z Registry1 vyžaduje účet Platform One a dodavatelé a přispěvatelé odpovídají za opravu nálezů ve svých image.

Nejvhodnější pro: software určený pro systémy DoD, které potřebují akreditované základní image.

Zvažte, pokud: přijímáte, že údržba každého image závisí na jeho přispěvateli.

9. Cloud Native Buildpacks a Paketo

Cloud Native Buildpacks, absolventský (graduated) projekt CNCF, převádějí zdrojový kód aplikace na image OCI bez Dockerfilu. Rebase aktualizuje základní image bez nového sestavení aplikace, buildy vytvářejí SBOM ve formátech CycloneDX, SPDX a Syft JSON a opakované spuštění buildu vytvoří stejný digest image. Paketo Buildpacks, komunitní projekt pod Cloud Foundry Foundation, poskytují hotové buildpacky pro Javu, Go, .NET Core, Node.js, PHP, Python a Ruby.

Nejvhodnější pro: týmy, které nechtějí udržovat Dockerfily a chtějí záplatovat vrstvy OS pomocí rebase.

Zvažte, pokud: se obejdete bez závazku dodavatele k opravě CVE; jde o způsob sestavování image, ne o katalog.

10. Socket

Socket zabezpečuje jiný vstup: open source balíčky. Analyzuje, jak se balíčky chovají, označuje rizikové přírůstky v pull requestech a Socket Firewall blokuje škodlivé balíčky při instalaci, s bezplatnou verzí pro npm, yarn, pnpm, pip, uv a cargo.

Nejvhodnější pro: zastavení špatných balíčků dřív, než se dostanou dovnitř, včetně těch, k nimž zatím neexistuje bezpečnostní upozornění.

CRACI vs Socket

Vedle sebe

„Neuvedeno“ znamená, že jsme to nemohli ověřit na veřejných stránkách dodavatele. RapidFort, Bitnami Secure Images, Iron Bank a Buildpacks jsou popsány výše.

Kolik stojí Chainguard a jeho alternativy

Většina placených katalogů zabezpečených image se oceňuje na základě nabídky, proto u každého srovnejte, kolik stojí závazek k opravě CVE, varianty FIPS či STIG a přizpůsobení. Bezplatné katalogy obvykle závazek k opravě nemají.

Chainguard vs Docker Hardened Images

Tyto dvě možnosti týmy srovnávají nejčastěji. Obě dodávají minimální image s podepsanými SBOM a SLSA provenance. Liší se v tom, jak jsou sestaveny a co obsahuje bezplatná úroveň:

• Základ. Docker Hardened Images vycházejí z Alpine nebo Debianu, které většina týmů už zná. Chainguard sestavuje své image ze zdrojového kódu.
• Bezplatná úroveň. Katalog DHI Community je zdarma pod licencí Apache 2.0. Chainguard nabízí pět image zdarma.
• Závazek k opravě CVE. Docker se zavazuje opravit kritické CVE do 7 dnů v DHI Select, od $5,000 za repozitář. Chainguard se zákazníkům s objednávkou zavazuje k 7 dnům u kritických a 14 u ostatních závažností.
• Nad rámec image. Chainguard také znovu sestavuje knihovny programovacích jazyků a nabízí image VM a zabezpečené GitHub Actions.

Kdy zůstat u Chainguard

• Potřebujete zabezpečené image a knihovny v několika jazycích se závazkem k CVE od jednoho dodavatele.
• Spoléháte na Chainguard Libraries přes Artifactory, Nexus nebo Cloudsmith.
• Můžete je kombinovat: zabezpečené vstupy a zaznamenaný, kontrolovaný build pokrývají různé části řetězce.

Přečtěte si více o generování SBOM z doby buildu a srovnání nástrojů pro bezpečnost softwarového dodavatelského řetězce.

Časté dotazy k alternativám k Chainguard

Stručné odpovědi na otázky, které si týmy kladou při srovnávání

Kdo konkuruje Chainguard?

V oblasti zabezpečených image kontejnerů: Docker Hardened Images, RapidFort, Bitnami Secure Images od Broadcomu, Echo, Aikido a bezplatné možnosti jako Google distroless a Iron Bank ministerstva obrany USA (DoD). Cloud Native Buildpacks jsou open source způsob, jak sestavovat image bez Dockerfilů. Socket místo toho zabezpečuje open source balíčky a CRACI zabezpečuje a zaznamenává build, který všechny tyto vstupy používá.

Jaký je rozdíl mezi Dockerem a Chainguard?

Docker Hardened Images vycházejí z Alpine nebo Debianu a katalog Community je zdarma pod licencí Apache 2.0; závazek opravit kritické CVE do 7 dnů přichází s placenou úrovní DHI Select, od $5,000 za repozitář. Chainguard sestavuje své image ze zdrojového kódu, zavazuje se zákazníkům s objednávkou opravit kritické CVE do 7 dnů a ostatní do 14 a nabízí také knihovny, VM a GitHub Actions.

Kolik stojí Chainguard?

Chainguard nabízí pět image zdarma. K září 2026 začínají ceny katalogu na $19K pro tým 10 lidí, s přístupem k celému katalogu a CVE SLA, a ceny za jednotlivé image jsou na základě nabídky.

Existuje bezplatná alternativa k Chainguard?

Ano. Katalog Docker Hardened Images Community a Google distroless jsou zdarma pod licencí Apache 2.0, Iron Bank je zdarma s účtem Platform One a RapidFort i Aikido vám umožní začít zdarma. Bezplatné možnosti obvykle nemají závazek k opravě CVE.

Nahradí CRACI Chainguard?

Ne. CRACI nevytváří zabezpečené image ani knihovny. Místo toho zabezpečuje build: zaznamenává, co si každý job GitHub Actions stáhl, včetně základních image, a vynucuje egress policy, která při selhání vše zablokuje (fail-closed). Zabezpečené vstupy a zaznamenaný, kontrolovaný build pokrývají různé části dodavatelského řetězce.