Hver smart-enhed leveres med firmware bygget af open source-pakker, chipleverandørers SDK'er og værktøjer hentet under buildet. Et forsyningskædeangreb behøver kun ét af dem. CRACI kører dine firmware-builds, registrerer hver komponent, der går ind, og forhindrer buildet i at nå noget, det ikke har brug for.
Det meste af koden i en forbundet enhed er skrevet af nogen andre: en embedded Linux-distribution, board support-pakken fra chipleverandøren, en netværksstak, et par hundrede open source-biblioteker og de Rust crates, der ligger under dem. De samme komponenter leveres i produkter fra mange brands, og enhederne bliver i hjemmene i årevis, ofte længe efter, at nogen sidst så på, hvad de indeholder.
Det gør én svag komponent meget værd for en angriber. En fejl i et delt bibliotek eller SDK åbner hvert produkt, der leverer det, og en forgiftet release når hvert build, der henter den. Disse hændelser viser mønsteret.
Nitten sårbarheder, op til CVSS 10,0, i et lille TCP/IP-bibliotek, som enhedsproducenter havde licenseret i årevis, ofte under et andet navn. Det sad i produkter fra mange leverandører, og mange af dem skulle først finde ud af, om de overhovedet leverede det.
Du kan ikke patche en komponent, du ikke ved, du leverer.
Fejl i en chipleverandørs SDK nåede omkring 200 enhedsmodeller fra cirka 65 producenter: routere, IP-kameraer, gateways til smart belysning, forbundet legetøj. Et Mirai-botnet scannede efter dem to dage efter, at detaljerne blev offentlige.
Chipleverandørens kode er din kode, når den først leveres i din enhed.
En bagdør blev plantet i selve upstream-projektet xz, i version 5.6.0 og 5.6.1. Embedded Linux-images trækker som en selvfølge komprimeringsbiblioteker som xz ind, som regel uden at nogen har valgt dem.
Betroet open source kan blive fjendtlig i en enkelt release.
Angribere brugte ASUS' egne signeringscertifikater til at signere en version af selskabets opdateringsværktøj med en bagdør og leverede den fra de officielle opdateringsservere. Kaspersky anslog, at den kan have nået mere end en million brugere.
En gyldig signatur beviser kun, hvem der signerede, ikke hvad der gik ind.
Hærdning af enheden, som secure boot, ingen standardadgangskoder og en lukket debug-port, beskytter den enhed, du leverer. Trinene nedenfor beskytter det, der går ind i den.
CRACI dækker build-siden af denne liste: SBOM'en for hvert build, leverandørers SBOM'er, løbende overvågning, build-isolation, egress-kontrol og policy gates. Signering og hærdning af enheden forbliver hos dine egne værktøjer.
Kør dine Yocto- og andre embedded Linux-builds på CRACI's GitHub Actions-runnere, op til 32 vCPU'er, på x86-64 eller native ARM64. Mens buildet kører, registrerer CRACI hver pakke og fil, det henter, inklusive værtspakker, Git-kilder, GitHub Actions og downloads, som ingen recipe eller lockfile angiver. I et core-image-sato-build havde CRACI's SBOM alle komponenter fra Yoctos egen SBOM plus 88, den overså, med en package URL for hver af de 653 Rust crate-versioner, så de alle kan overvåges for sårbarheder.
Hvert job kører i sin egen isolerede virtuelle maskine under en egress-politik, der valideres, før jobbet starter, og som blokerer ved fejl (fail closed). Med en default-deny-politik når buildet dine pakkekilder og intet andet. En kompromitteret afhængighed, der forsøger at sende dit signeringsmateriale eller dine tokens til en angribers host, blokeres og udløser en alarm, også når angrebet er nyt, og ingen endnu har offentliggjort en advisory om det.
Tilføj SBOM'er fra dine chipleverandører og andre leverandører, så overvåges de indkøbte komponenter sammen med den software, du bygger. Når den næste SDK-sårbarhed lander, er leverandørens kode i samme registrering som din.
CRACI bliver ved med at genvurdere overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres. Build-historikken viser, hvilke builds der indeholdt den sårbare afhængighed, direkte eller transitiv, og inventaroversigten viser, hvilke softwareversioner der er udrullet til hvilke produkter. Sikkerhedsteams triagerer hvert fund og sender det til det team, der ejer rettelsen, og en policy gate kan holde en bestemt CVE ude af alle senere builds.
CE-mærkning under Cyber Resilience Act hviler på teknisk dokumentation og en overensstemmelsesvurdering. CRACI leverer den dokumentation for forsyningskæden, som den tekniske dokumentation har brug for: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedsregistreringer og build-historik. CRACI indsender også CRA-sårbarhedsunderretningerne på dine vegne. Overensstemmelsesvurderingen, EU-overensstemmelseserklæringen og CE-mærkningen forbliver hos dig som producent.
CRACI signerer ikke firmware, SBOM'er eller provenance, og det opdager ikke nye ondsindede pakker ud fra adfærd eller omdømme: Det markerer en ondsindet release, når der findes en advisory med en CVE, og er indtil da afhængigt af egress-politikken. Det gennemfører ikke din overensstemmelsesvurdering og udarbejder ikke din overensstemmelseserklæring. Det kører GitHub Actions-jobs på Linux-runnere i dag; GitLab CI, Jenkins og Windows- og macOS-runnere er på roadmappen.
Almindelige spørgsmål om at sikre forbundne enheder og deres softwareforsyningskæde
Det er et angreb, der når en enhed gennem noget, producenten er afhængig af, frem for gennem selve enheden: et sårbart open source-bibliotek, en chipleverandørs SDK, en forgiftet pakkerelease, et kompromitteret build-værktøj eller en kapret opdateringskanal. Fordi den samme komponent leveres i mange produkter, kan én svaghed nå millioner af enheder fra mange brands på én gang.
Start med det, du leverer: Hav en SBOM for hvert firmware-build, spor leverandørkomponenter, og bliv ved med at tjekke leverede versioner, når nye sårbarheder dukker op. Lås selve buildet ned, hold kendte dårlige versioner ude med policy gates, beskyt dine signeringsnøgler, og hav en proces for triage, rettelser og offentliggørelse. Hærdning af enheden, som secure boot og deaktivering af standardadgangskoder, betyder også noget, men det hjælper ikke, hvis firmwaren allerede indeholder en sårbar komponent.
Kend hver komponent, der går ind i imaget, inklusive det, buildet henter uden for dine recipes og lockfiles, og hav den registrering pr. release. Byg i et isoleret miljø, der kun kan nå de kilder, det har brug for, så en ondsindet afhængighed ikke kan sende dine secrets nogen steder hen. Overvåg de registrerede komponenter og dine leverandørers SBOM'er for nye sårbarheder, så længe enhederne understøttes.
Ja. Yocto- og BitBake-builds kører på CRACI-runnere, og CRACI registrerer jobbets SBOM, mens buildet kører. Yoctos eget SPDX-output indeholder stadig recipe-metadata, som CRACI ikke registrerer, for eksempel de anvendte patches og de CVE'er, en recipe markerer som rettede, så behold create-spdx slået til, hvis du er afhængig af dem.
Ja, når du har en SBOM for dem. Du kan tilføje leverandørers SBOM'er til CRACI, og de komponenter overvåges sammen med den software, du bygger. Alt, hvad dit build downloader fra en leverandør under buildet, registreres også i jobbets SBOM.
Ikke ud fra adfærd eller omdømme. En kendt ondsindet release med en offentliggjort CVE, som xz-bagdøren, markeres som enhver anden sårbarhed, og en policy gate kan blokere builds, der indeholder den. Mod nye angreb er CRACI's beskyttelse default-deny-egress-politikken, som forhindrer buildet i at nå hosts, det ikke har brug for.
Nej. CRACI signerer ikke firmware, SBOM'er eller provenance. Bliv ved med at bruge din egen signeringsproces og hardwarebaseret nøglelagring til releases og opdateringer.
Cyber Resilience Act dækker produkter med digitale elementer, der bringes i omsætning på EU-markedet, hvilket omfatter de fleste forbundne forbrugerenheder. Rapporteringsforpligtelserne gælder fra 11. september 2026, og forordningen gælder fuldt ud fra 11. december 2027. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for forsyningskæden, CRA-processen har brug for; at opfylde forordningen forbliver producentens proces.
CRACI kører GitHub Actions-jobs på Linux-runnere, x86-64 og ARM64, fra 1 til 32 vCPU'er. Andre CI-systemer, som GitLab CI og Jenkins, er på roadmappen, ligesom Windows- og macOS-runnere.
Book en demo, så viser vi hver komponent, dine enheds-builds henter, og hvilke af dem der er sårbare
Book en demo