CRACI vs ONEKEY

Stručná odpověď

ONEKEY je platforma pro kybernetickou bezpečnost produktů a soulad pro připojená zařízení. Nahrajete image firmwaru a ONEKEY analyzuje binární soubor, aby našel komponenty, známé zranitelnosti, pravděpodobné zero-day zranitelnosti a mezery v souladu, bez potřeby zdrojového kódu. CRACI je runner GitHub Actions, který zaznamenává, co si každý build během běhu stáhne, a z tohoto záznamu vytváří SBOM. ONEKEY analyzuje výstup; CRACI uchovává důkazy z buildu. Dobře se doplňují a žádný nenahrazuje ten druhý.

Přehled

V čem je ONEKEY dobrý

Binární analýza bez zdrojového kódu. ONEKEY analyzuje přímo zkompilovaný firmware. Jeho web to říká jasně: „Nepotřebujete zdrojový kód ani přístup k síti.“ To je důležité, když velká část toho, co se v zařízení dodává, pochází od výrobců čipů, dodavatelů modulů a subdodavatelů a jejich build nikdy neuvidíte.

Nálezy nad rámec známých CVE. Kromě porovnávání komponent s daty o zranitelnostech provádí ONEKEY automatizovanou analýzu zero-day, která v binárním souboru hledá problémy jako command injection, nezabezpečenou komunikaci a napevno zapsané přihlašovací údaje.

SBOM z image. ONEKEY generuje SBOM z binárního souboru, umožňuje importovat SBOM ze skenerů zdrojového kódu nebo od dodavatelů a exportuje CycloneDX a SPDX.

Vedení k souladu. ONEKEY Compliance Wizard provede týmy požadavky Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645 a směrnice o rádiových zařízeních (Radio Equipment Directive) a exportuje výsledky pro certifikaci třetí stranou.

Monitorování a CI. Monitorování firmwaru denně znovu analyzuje nahraný firmware, jak se objevují nové zranitelnosti. Dokumentace ONEKEY ukazuje, jak nahrávat každý nový build z GitHubu, GitLabu nebo Jenkins a nechat pipeline selhat, když se objeví nové nálezy. ONEKEY také spravuje unblob, open source sadu nástrojů pro extrakci binárních blobů.

Čím se CRACI liší

Binární sken postupuje zpětně od hotového image. CRACI postupuje dopředu od buildu, protože je strojem, na kterém build běží. Konkrétně k image Yocto viz proč skenery SBOM přehlížejí, co je v buildech Yocto.

Zdrojem pravdy je build

Váš workflow pro firmware běží na runnerech CRACI po změně jednoho řádku v runs-on. Během běhu jobu zaznamenává proxy, která rozumí balíčkům, co job stahuje ze zdrojů balíčků, a balíčky obnovené z cache CI se přenášejí dál. Každá SBOM uvádí, jak je úplná, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Pro Yocto spouští CRACI BitBake na runnerech s až 32 vCPU a 96 GB RAM. Při srovnávacím buildu core-image-sato obsahovala SBOM z CRACI každou komponentu z vlastního výstupu SPDX od Yocto, 88 dalších, například balíčky hostitele a GitHub Actions, a package URL pro každou z 653 verzí Rust crate, které Yocto uvádí bez něj. Zdroje, které BitBake stáhne ze zrcadla zdrojů Yocto, se zaznamenávají do SBOM jobu CRACI.

Kontrola nad tím, kam se build dostane

Egress policy na runneru rozhoduje, ke kterým hostitelům se job smí připojit. Ověřuje se před spuštěním jobu, při selhání vše zablokuje (fail-closed) a při porušení odešle výstrahu. U Yocto přidává druhou vrstvu k vlastnímu BB_ALLOWED_NETWORKS v BitBake.

Původ a co bylo vydáno

API vrací SBOM, síťové stopy a původ (provenance). CRACI původ nepodepisuje. Agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM, jak se objevují bezpečnostní upozornění.

Stejně důležité je zde to, co CRACI nedělá. Neanalyzuje binární soubory, takže vám nemůže říct, co je uvnitř blobu od dodavatele, který váš build stáhne, jen to, že ho build stáhl a odkud.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Kdy použít který a kdy oba

• Integrujete firmware, který nesestavujete. ONEKEY. Binární analýza je způsob, jak do něj nahlédnout.
• Sestavujete vlastní linuxový image v GitHub Actions. CRACI spouští build a zaznamenává jeho vstupy. Přidání ONEKEY vám dá druhý, nezávislý pohled na hotový image.
• Auditor se ptá, jak víte, že SBOM odpovídá produktu. Záznam CRACI z runneru odpovídá na otázku „co šlo do tohoto buildu“; analýza ONEKEY odpovídá na otázku „co je v tomto image“. Společně se navzájem ověřují.
• Potřebujete řízené kontroly podle IEC 62443 nebo ETSI EN 303 645. ONEKEY je má vestavěné. CRACI exportuje SBOM jako CycloneDX nebo SPDX a jeho API vrací síťové stopy a původ pro váš širší proces.

Pro CRA

Cyber Resilience Act požaduje, aby výrobci identifikovali a dokumentovali komponenty svých produktů, včetně SBOM, a řešili zranitelnosti po celou dobu podpory produktu. Oznamování aktivně zneužívaných zranitelností platí od září 2026. ONEKEY pomáhá analýzou firmwaru, který uvádíte na trh, a vedením požadavky. CRACI pomáhá tím, že pro každý build vytváří důkazy o tom, co šlo do daného firmwaru, včetně původu a průběžného monitorování. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které výrobci potřebují pro svůj širší proces souladu s CRA; sám o sobě produkt do souladu neuvede. Přečtěte si, co CRA požaduje.

Přidání CRACI vedle ONEKEY

Krok nahrávání do ONEKEY si ponechte. Job firmwaru přesuňte na runner CRACI nastavením runs-on: craci a tentýž workflow dál běží v GitHub Actions, zatímco CRACI build zaznamenává. Nahrání do ONEKEY pak proběhne z buildu, pro který máte důkazy. Příklad Yocto v dokumentaci CRACI ukazuje celý workflow BitBake. CRACI dnes podporuje pouze GitHub Actions, takže pipeline v GitLabu nebo Jenkins by bylo nutné přesunout, aby mohly používat runnery CRACI. GitLab CI a Jenkins jsou v plánu vývoje. Podívejte se, jak CRACI funguje pro průmyslový IoT a spotřební elektroniku.

Zvažujete víc než dva nástroje? Alternativy k ONEKEY srovnávají devět možností vedle sebe.