CRACI vs Renovate

Det korte svar

Renovate er bygget til afhængighedshygiejne: Det finder pakkefiler, åbner pull requests med opdateringer og lader dig styre støjen med tidsplaner, gruppering og automerge. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build hentede, og overvåger disse SBOM'er for nye sårbarheder. Renovate spørger, om der findes en nyere version. CRACI spørger, om noget i det, vi har bygget og leveret, er sårbart, og hvor. De konkurrerer ikke om den samme opgave, og de kører side om side: Renovate åbner pull requests med opdateringerne, CRACI fortæller dig, hvilke builds der har brug for en.

Hvad Renovate gør godt

Renovates dokumentation åbner med "Automated dependency updates. Multi-platform and multi-language." Det lever op til begge halvdele. Det "looks for references to dependencies (both public and private)" i dit repository og åbner, når der findes nyere versioner, pull requests, der opdaterer dem og deres lockfiles.

• Bredde. Over 90 pakkehåndteringer og repositories på GitHub, GitLab, Bitbucket, Azure DevOps, Gitea og Forgejo, med AWS CodeCommit, Gerrit og SCM-Manager angivet som eksperimentelle.
• Kontrol. Delbare konfigurations-presets, packageRules til adfærd pr. pakke, tidsplaner, der begrænser, hvornår pull requests dukker op, og automerge til de opdateringer, du stoler på. Dets dokumentation bemærker, at de fleste teams overlader major-opdateringer til et menneske.
• Synlighed. Et Dependency Dashboard-issue, slået til som standard i config:recommended, og oplysninger, der hjælper med at afgøre, hvilke opdateringer der skal accepteres: alder, udbredelse, beståelsesrater og merge confidence.
• Rækkevidde. Custom managers håndterer proprietære filformater og populære formater, som Renovate endnu ikke understøtter.
• Valg af deployment. Open source under AGPL-3.0 og vedligeholdt af Mend. Du kan selv køre CLI'en eller Docker-imaget, bruge den gratis cloud-app Mend Renovate Community på GitHub.com og Bitbucket Cloud eller køre de selvhostede udgaver Community eller den betalte Enterprise.

Sådan håndterer Renovate sårbarheder

Renovate har to veje til sikkerhedsrettelser. Med vulnerabilityAlerts læser det GitHubs sårbarhedsalarmer, hvilket kræver, at afhængighedsgrafen og Dependabot-alarmer er slået til. De pull requests "skip the line," ignorerer tidsplaner og timebegrænsninger og går som standard til den laveste rettede version. Med osvVulnerabilityAlerts tjekker det afhængigheder mod OSV-databasen, som det downloader og forespørger offline. Dokumentationen er præcis om begrænsningen: "You will only get OSV-based vulnerability alerts for direct dependencies," for et angivet sæt datakilder.

CRACI erstatter ikke noget af dette, og det åbner ikke pull requests. Er dit mål at holde hundredvis af repositories opdaterede med minimal indsats, er Renovate bygget til det.

Hvor CRACI er anderledes

Det starter fra buildet, ikke pakkefilerne

Renovate arbejder ud fra det, dit repository deklarerer. Et build gør ofte mere end det: Det resolver versioner ved installation, gendanner pakker fra caches og downloader værktøjer, OS-pakker og images, som intet manifest angiver. expressjs/express 5.2.1 viser hullet tydeligst: Det committer ingen lockfile, så en generator, der peges på et rent checkout, ikke har noget at resolve og ikke rapporterer nogen af dets npm-afhængigheder, uanset hvor godt værktøjet virker. CRACI kan ikke sammenlignes på den måde, fordi det registrerer builds i stedet for at scanne mapper. Filerne i et repository og pakkerne i et build er ikke den samme liste.

CRACI kører buildet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer, hvad hvert job henter fra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Hvert job og hver cache får en fuldstændighedsstatus: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Overvågning af det, du har leveret

CRACI samler sårbarheder på tværs af builds og repositories og bliver ved med at genvurdere overvågede SBOM'er, efterhånden som nye advisories dukker op. Når en lander, ser du, hvilke builds og repositories der faktisk brugte den berørte pakke, inklusive pakker, som intet manifest angiver, og sikkerhedsteams kan triagere fundet og sende det videre til det team, der ejer rettelsen. Udløseren er en sårbarhed i noget, et build faktisk brugte, ikke at en ny version er kommet.

Mere end overvågning

Fordi CRACI er runneren, håndhæver det også en egress-politik pr. job (default deny eller allow, valideret før jobbet starter, blokerer ved fejl, dvs. fail closed), returnerer SBOM'er, netværkstraces og provenance via sit API og eksporterer SBOM'er som CycloneDX eller SPDX. Intet af det er Renovates opgave.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Kør begge

• Renovate holder hver afhængighed opdateret efter en tidsplan, på tværs af alle dine platforme og pakkehåndteringer, med automerge til opdateringer med lav risiko.
• CRACI registrerer hvert GitHub Actions-build, overvåger det leverede og fortæller dig, hvilke builds og teams en ny sårbarhed berører, så du ved, hvilke pull requests med opdateringer der skal merges først.

Der er intet at migrere. Renovate bliver ved med at læse dine repositories, og dine workflows bliver ved med at køre på GitHub Actions på en anden runner.

Til Cyber Resilience Act

CRA forventer, at producenter ved, hvad der er i hver release, og håndterer sårbarheder i den. Renovate hjælper ved at holde afhængigheder patchede og opdaterede. CRACI registrerer SBOM'en for hvert build, overvåger den for nye sårbarheder og gemmer dokumentationen. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Se hvad CRA er og sårbarhedssporing.