Každé chytré zařízení dodává firmware sestavený z open source balíčků, SDK výrobců čipů a nástrojů stažených během buildu. Útoku na dodavatelský řetězec stačí jediný z nich. CRACI spouští vaše buildy firmwaru, zaznamenává každou komponentu, která do nich vstoupí, a nepustí build nikam, kam nepotřebuje.
Většinu kódu v připojeném zařízení napsal někdo jiný: distribuce embedded Linuxu, balíček podpory desky od výrobce čipu, síťový stack, několik set open source knihoven a pod nimi crate v Rustu. Stejné komponenty se dodávají v produktech mnoha značek a zařízení zůstávají v domácnostech roky, často dlouho poté, co se naposledy někdo podíval, co obsahují.
Proto má pro útočníka jediná slabá komponenta velkou cenu. Chyba ve sdílené knihovně nebo SDK otevře každý produkt, který ji dodává, a otrávené vydání se dostane do každého buildu, který ho stáhne. Tento vzorec ukazují následující incidenty.
Devatenáct zranitelností s hodnocením až CVSS 10.0 v malé knihovně TCP/IP, kterou výrobci zařízení léta licencovali, často pod jiným názvem. Byla uvnitř produktů mnoha dodavatelů a mnozí z nich museli nejdřív zjistit, zda ji vůbec dodávají.
Komponentu, o které nevíte, že ji dodáváte, nezáplatujete.
Chyby v SDK výrobce čipů se dostaly do zhruba 200 modelů zařízení od přibližně 65 výrobců: routerů, IP kamer, bran pro chytré osvětlení a připojených hraček. Botnet Mirai je skenoval dva dny poté, co byly podrobnosti zveřejněny.
Kód výrobce čipů je vaším kódem, jakmile ho dodáte ve svém zařízení.
Zadní vrátka byla vložena přímo do upstream projektu xz, ve verzích 5.6.0 a 5.6.1. Image embedded Linuxu běžně stahují kompresní knihovny jako xz, obvykle aniž by je kdokoli vybral.
Důvěryhodný open source se může obrátit proti vám v jediném vydání.
Útočníci použili vlastní podpisové certifikáty společnosti ASUS k podepsání verze její aktualizační utility se zadními vrátky a doručili ji z oficiálních aktualizačních serverů. Kaspersky odhadl, že mohla zasáhnout více než milion uživatelů.
Platný podpis dokazuje jen to, kdo podepsal, ne co je uvnitř.
Zabezpečení zařízení, například secure boot, žádná výchozí hesla a uzavřený ladicí port, chrání zařízení, které dodáváte. Následující kroky chrání to, co do něj vstupuje.
CRACI pokrývá z tohoto seznamu stranu buildu: SBOM každého buildu, SBOM od dodavatelů, průběžné monitorování, izolaci buildu, kontrolu odchozího provozu a kontrolní brány politik. Podepisování a zabezpečení zařízení zůstávají u vašich vlastních nástrojů.
Spouštějte své buildy Yocto a dalšího embedded Linuxu na runnerech GitHub Actions od CRACI, s až 32 vCPU, na x86-64 nebo nativním ARM64. Během běhu buildu CRACI zaznamenává každý balíček a soubor, který build stáhne, včetně balíčků hostitele, zdrojů z Gitu, GitHub Actions a stažených souborů, které neuvádí žádný recept ani lockfile. Při buildu core-image-sato obsahovala SBOM od CRACI každou komponentu z vlastní SBOM Yocto a navíc 88, které Yocto přehlédl, s URL balíčku pro každou z 653 verzí crate v Rustu, takže všechny lze monitorovat kvůli zranitelnostem.
Každý job běží ve vlastním izolovaném virtuálním stroji pod egress policy, která se ověří před spuštěním jobu a při selhání vše zablokuje. S politikou výchozího zákazu (default deny) se build dostane ke zdrojům vašich balíčků a nikam jinam. Kompromitovaná závislost, která se pokusí poslat vaše podpisové materiály nebo tokeny na hostitele útočníka, je zablokována a vyvolá upozornění, i když je útok nový a nikdo k němu zatím nezveřejnil bezpečnostní upozornění.
Přidejte SBOM od výrobců čipů a dalších dodavatelů a nakoupené komponenty se budou monitorovat spolu se softwarem, který sestavujete. Až přijde další zranitelnost v SDK, kód dodavatele bude ve stejném záznamu jako váš.
CRACI průběžně znovu vyhodnocuje monitorované SBOM, jakmile jsou zveřejněny nové zranitelnosti. Historie buildů ukazuje, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, a pohled inventáře ukazuje, které verze softwaru jsou nasazené ve kterých produktech. Bezpečnostní týmy provedou triáž každého nálezu a předají ho týmu, který vlastní opravu, a kontrolní brána politik může konkrétní CVE udržet mimo všechny další buildy.
Označení CE podle Cyber Resilience Act stojí na technické dokumentaci a posouzení shody. CRACI dodává důkazy o dodavatelském řetězci, které tato dokumentace potřebuje: SBOM z doby buildu exportované ve formátu CycloneDX nebo SPDX, záznamy o zranitelnostech a historii buildů. CRACI také připraví obsah oznámení o zranitelnostech podle CRA, která pak podáte vy. Posouzení shody, EU prohlášení o shodě a označení CE zůstávají na vás jako výrobci.
CRACI nepodepisuje firmware, SBOM ani původ (provenance) a neodhaluje nové škodlivé balíčky podle chování nebo reputace: škodlivé vydání označí, jakmile existuje bezpečnostní upozornění s CVE, a do té doby spoléhá na egress policy. Neprovádí vaše posouzení shody ani nevypracuje vaše prohlášení o shodě. Dnes spouští joby GitHub Actions na runnerech s Linuxem; GitLab CI, Jenkins a runnery s Windows a macOS jsou v plánu vývoje.
Časté otázky o zabezpečení připojených zařízení a jejich softwarového dodavatelského řetězce
Je to útok, který se k zařízení dostane přes něco, na co jeho výrobce spoléhá, a ne přes samotné zařízení: zranitelnou open source knihovnu, SDK výrobce čipů, otrávené vydání balíčku, kompromitovaný nástroj buildu nebo převzatý aktualizační kanál. Protože se stejná komponenta dodává v mnoha produktech, jedna slabina může najednou zasáhnout miliony zařízení mnoha značek.
Začněte tím, co dodáváte: uchovávejte SBOM pro každý build firmwaru, sledujte komponenty dodavatelů a dodané verze průběžně kontrolujte, jak se objevují nové zranitelnosti. Zabezpečte samotný build, udržujte známé škodlivé verze venku pomocí kontrolních bran politik, chraňte své podpisové klíče a mějte proces pro triáž, opravy a zveřejňování. Záleží i na zabezpečení zařízení, jako je secure boot a vypnutí výchozích hesel, to ale nepomůže, pokud firmware už obsahuje zranitelnou komponentu.
Znejte každou komponentu, která jde do image, včetně toho, co build stáhne mimo vaše recepty a lockfily, a tento záznam uchovávejte pro každé vydání. Sestavujte v izolovaném prostředí, které se dostane jen ke zdrojům, které potřebuje, aby škodlivá závislost nemohla vaše tajné klíče nikam poslat. Monitorujte zaznamenané komponenty a SBOM svých dodavatelů podle nových zranitelností po celou dobu podpory zařízení.
Ano. Buildy Yocto a BitBake běží na runnerech CRACI a CRACI během běhu buildu zaznamenává SBOM jobu. Vlastní výstup SPDX z Yocto ale stále nese metadata receptů, která CRACI nezaznamenává, například aplikované patche a CVE, které recept označuje jako opravené, takže pokud na ně spoléháte, nechte create-spdx zapnuté.
Ano, pokud k nim máte SBOM. SBOM od dodavatelů můžete do CRACI přidat a tyto komponenty se pak monitorují spolu se softwarem, který sestavujete. Vše, co váš build během buildu stáhne od dodavatele, se navíc zaznamená do SBOM jobu.
Ne podle chování ani reputace. Známé škodlivé vydání se zveřejněným CVE, jako jsou zadní vrátka v xz, je označeno jako každá jiná zranitelnost a kontrolní brána politik může zablokovat buildy, které ho obsahují. Proti novým útokům chrání CRACI egress policy nastavená na výchozí zákaz, která buildu zablokuje přístup k hostitelům, které nepotřebuje.
Ne. CRACI nepodepisuje firmware, SBOM ani původ. Pro vydání a aktualizace dál používejte vlastní proces podepisování a hardwarově chráněné úložiště klíčů.
Cyber Resilience Act se vztahuje na produkty s digitálními prvky uváděné na trh EU, což zahrnuje většinu připojených spotřebitelských zařízení. Oznamovací povinnosti platí od 11. září 2026 a nařízení se v plném rozsahu použije od 11. prosince 2027. CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které proces podle CRA potřebuje; splnění nařízení zůstává procesem výrobce.
CRACI spouští joby GitHub Actions na runnerech s Linuxem, x86-64 a ARM64, s 1 až 32 vCPU. Další systémy CI, jako GitLab CI a Jenkins, jsou v plánu vývoje, stejně jako runnery s Windows a macOS.
Rezervujte si demo a ukážeme vám každou komponentu, kterou buildy vašich zařízení stahují, a které z nich jsou zranitelné
Rezervujte si demo