CRACI vs ONEKEY

Det korte svar

ONEKEY er en platform til produktcybersikkerhed og compliance for forbundne enheder. Du uploader et firmware-image, og den analyserer binærfilen for at finde komponenter, kendte sårbarheder, sandsynlige zero-days og compliance-huller, uden behov for kildekode. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build trækker ind, mens det kører, og producerer SBOM'en ud fra den registrering. ONEKEY analyserer outputtet; CRACI gemmer dokumentation fra buildet. De passer godt sammen, og ingen af dem erstatter den anden.

Overblik

Hvad ONEKEY gør godt

Binæranalyse uden kildekode. ONEKEY analyserer kompileret firmware direkte. Dets website siger det ligeud: "No source code or network access needed." Det betyder noget, når meget af det, der følger med en enhed, kommer fra chipleverandører, modulleverandører og underleverandører, og du aldrig ser deres build.

Fund ud over kendte CVE'er. Ud over at matche komponenter mod sårbarhedsdata kører ONEKEY automatiseret zero-day-analyse, der leder efter problemer som command injection, usikker kommunikation og hardcodede legitimationsoplysninger i binærfilen.

SBOM'er fra imaget. ONEKEY genererer en SBOM fra binærfilen, lader dig importere SBOM'er fra kildekodescannere eller leverandører og eksporterer CycloneDX og SPDX.

Compliance-vejledning. ONEKEY Compliance Wizard guider teams gennem kravene i Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive og eksporterer resultater til tredjepartscertificering.

Overvågning og CI. Dets firmwareovervågning genanalyserer uploadet firmware dagligt, efterhånden som nye sårbarheder dukker op. ONEKEYs dokumentation viser, hvordan du uploader hvert nyt build fra GitHub, GitLab eller Jenkins og får pipelinen til at fejle, når nye fund dukker op. ONEKEY vedligeholder også unblob, en open source-suite til udpakning af binære blobs.

Hvor CRACI er anderledes

En binærscanning arbejder baglæns fra det færdige image. CRACI arbejder forlæns fra buildet, fordi det er den maskine, buildet kører på.

Buildet er sandhedskilden

Dit firmware-workflow kører på CRACI's runnere med en ændring på én linje af runs-on. Mens et job kører, registrerer en pakkebevidst proxy, hvad det downloader fra pakkekilder, og pakker gendannet fra CI-caches føres videre. Hver SBOM angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Til Yocto kører CRACI BitBake på runnere med op til 32 vCPU og 96 GB RAM. I et sammenlignende build af core-image-sato indeholdt CRACI's SBOM alle komponenter i Yoctos eget SPDX-output, 88 flere, såsom værtspakker og GitHub Actions, og en package URL for hver af de 653 versioner af Rust-crates, som Yocto lister uden en. Kilder, BitBake henter fra Yocto-kildespejlet, registreres i CRACI's job-SBOM.

Kontrol over, hvad buildet kan nå

En egress-politik på runneren afgør, hvilke hosts et job må oprette forbindelse til. Den valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en advarsel ved en overtrædelse. Til Yocto tilføjer den et ekstra lag oven på BitBakes egen BB_ALLOWED_NETWORKS.

Provenance og det leverede

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Det samler sårbarheder på tværs af builds og repositories og bliver ved med at genvurdere overvågede SBOM'er, efterhånden som advisories dukker op.

Det, CRACI ikke gør, er lige så vigtigt her. Det analyserer ikke binærfiler, så det kan ikke fortælle dig, hvad der er inde i en leverandør-blob, dit build downloader, kun at buildet hentede den, og hvorfra.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvornår du skal bruge hvilken, og hvornår du skal bruge begge

• Du integrerer firmware, du ikke selv bygger. ONEKEY. Binæranalyse er måden at se ind i den på.
• Du bygger dit eget Linux-image i GitHub Actions. CRACI kører buildet og registrerer dets input. Tilføjer du ONEKEY, får du et ekstra, uafhængigt billede af det færdige image.
• En auditor spørger, hvordan du ved, at SBOM'en stemmer med produktet. CRACI's registrering fra runneren svarer på, hvad der gik ind i dette build; ONEKEYs analyse svarer på, hvad der er i dette image. Sammen krydstjekker de hinanden.
• Du har brug for guidede tjek mod IEC 62443 eller ETSI EN 303 645. ONEKEY har det indbygget. CRACI eksporterer SBOM'er som CycloneDX eller SPDX, og dets API returnerer netværkstraces og provenance til din bredere proces.

Til CRA

Cyber Resilience Act kræver, at producenter identificerer og dokumenterer komponenterne i deres produkter, herunder med en SBOM, og håndterer sårbarheder, så længe produktet understøttes. Rapportering af aktivt udnyttede sårbarheder gælder fra september 2026. ONEKEY hjælper ved at analysere den firmware, du bringer på markedet, og guide dig gennem kravene. CRACI hjælper ved at producere dokumentation pr. build for, hvad der gik ind i den firmware, med provenance og løbende overvågning. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som producenter har brug for i deres bredere CRA-compliance-proces; det gør ikke et produkt compliant alene. Læs hvad CRA kræver.

Tilføj CRACI ved siden af ONEKEY

Behold dit upload-trin til ONEKEY. Flyt firmware-jobbet til en CRACI-runner ved at sætte runs-on: craci, så bliver det samme workflow ved med at køre i GitHub Actions, mens CRACI registrerer buildet. Uploaden til ONEKEY sker så fra et build, du har dokumentation for. Yocto-eksemplet i CRACI's dokumentation viser et komplet BitBake-workflow. CRACI understøtter kun GitHub Actions i dag, så GitLab- eller Jenkins-pipelines skal flyttes for at bruge CRACI-runnere. GitLab CI og Jenkins er på roadmappen. Se, hvordan CRACI fungerer til industriel IoT og forbrugerelektronik.

Overvejer du mere end to værktøjer? Alternativer til ONEKEY sammenligner ni muligheder side om side.