CRACI vs. Finite State | Binäranalyse und Build-Nachweise

Die kurze Antwort

Finite State ist eine Plattform für Produktsicherheit bei vernetzten Geräten. Sie analysiert Firmware, Binärdateien, Quellcode und Lieferanten-SBOMs, priorisiert Schwachstellen nach Erreichbarkeit und macht aus den Ergebnissen Nachweise für Regulierungen wie den CRA. CRACI ist ein GitHub-Actions-Runner, der während des Laufs aufzeichnet, was jeder Build lädt, aus dieser Aufzeichnung die SBOM erzeugt und kontrolliert, wohin sich der Build verbinden darf. Finite State analysiert, was Sie ausliefern, ganz gleich, woher es stammt; CRACI zeichnet auf, was Ihr eigener Build getan hat. Sie ergänzen sich weitgehend.

Auf einen Blick

Funktion	CRACI	Finite State
Führt Ihre Builds aus	Jobs laufen auf CRACI-Runnern	Ihr CI lädt Binärdateien oder SBOMs dorthin hoch
Zeichnet auf, was der Build geladen hat	Vom Runner während jedes Jobs beobachtet	Analysiert Quellcode, Binärdateien und Lieferanten-SBOMs
Egress-Richtlinie während des Builds	Vor dem Job geprüft, blockiert im Zweifel (fail closed)	Außerhalb des Umfangs
Binär- und Firmware-Analyse		Mehr als 50 binäre Befehlssatzarchitekturen
Lieferanten-SBOMs und Befunde Dritter	Hersteller-SBOMs lassen sich ergänzen; keine Befunde Dritter	In einen Produktdatensatz aufgenommen
Erreichbarkeitsanalyse		Priorisiert, was tatsächlich ausnutzbar ist
Aufgezeichnete Triage-Entscheidungen	Befunde sichten und an Teams weiterleiten	VEX-Entscheidungen mit Ausnutzbarkeitsstatus
SBOM in CycloneDX und SPDX	Pro Build, mit Vollständigkeitsstatus	Pro Release, aus Quellcode und Binärdateien
CRA-Nachweise	SBOMs in CycloneDX oder SPDX, Aufzeichnungen über die API; kein Berichtsexport	Zuordnung zu CRA-Kontrollen und auditfähige Berichte
CI-Systeme	Heute GitHub Actions; GitLab CI und Jenkins auf der Roadmap	GitHub Actions, GitLab CI, Jenkins und weitere

Enthalten
Teilweise
Nicht enthalten

Was Finite State gut kann

Die Website von Finite State — finitestate.io

Abdeckung von Binärdateien und Firmware. Finite State erstellt SBOMs und ein Softwareinventar über Firmware, Binärdateien und Quellcode hinweg, „with support for 50+ binary instruction set architectures“. Bei einem Gerät, das Code von vielen Anbietern auf ungewöhnlichen Chips ausführt, ist genau diese Breite entscheidend.

Ein Datensatz über alle Lieferanten. Die Plattform führt Firmware, Binärdateien, Quellcode, Lieferanten-SBOMs und Befunde Dritter zusammen. Das hilft, wenn Sie die Angaben eines Lieferanten mit dem abgleichen müssen, was tatsächlich im Produkt steckt.

Weniger Rauschen. Finite State ordnet Befunde nach Erreichbarkeit, Exploit-Intelligence und Produktkontext. Laut eigenem Bericht wurden seit 2024 40,5 % der auf Erreichbarkeit analysierten Befunde als nicht erreichbar bestätigt. VEX-Entscheidungen zeichnet es mit Produktauswirkung und Ausnutzbarkeitsstatus auf.

Compliance-Nachweise. Sein Compliance-Workflow umfasst die Zuordnung zu EU-CRA-Kontrollen und die Pflege der Nachweise und erzeugt auditfähige Berichte mit SBOM- und VEX-Artefakten. Es adressiert außerdem Frameworks wie FDA-Leitlinien, UN R155 und IEC 62443.

CI-Integrationen. Finite State bettet Prüfungen in GitHub Actions, GitLab CI und Jenkins ein. Seine Binary-Scan-Action lädt eine im CI gebaute Binärdatei für einen schnellen oder vollständigen Scan auf die Finite-State-Plattform hoch.

Worin sich CRACI unterscheidet

Finite State setzt bei Artefakten an: der fertigen Binärdatei, dem Quellcodebaum, der SBOM eines Lieferanten. CRACI setzt beim Build selbst an, weil der Build auf CRACI läuft.

Beobachtet, nicht abgeleitet

Sie ändern runs-on auf craci, und der Job läuft in einer isolierten virtuellen Maschine auf einem CRACI-Runner. Ein paketbewusster Proxy zeichnet auf, was der Job von Paketquellen herunterlädt, und aus CI-Caches wiederhergestellte Pakete werden mitgeführt. Jede SBOM gibt an, wie vollständig sie ist, pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Firmware-Teams können Yocto auf Runnern mit bis zu 32 vCPUs und 96 GB RAM ausführen. Quellen, die BitBake aus dem Yocto-Source-Mirror lädt, werden in der CRACI-Job-SBOM erfasst.

Kontrolle während des Builds

Ein Scan der Ausgabe kann nicht ändern, was der Build erreichen konnte. Die Egress-Richtlinie von CRACI schon: Sie ist standardmäßig sperrend oder erlaubend, wird vor dem Start des Jobs validiert, blockiert im Zweifel (fail closed) und sendet bei einem Verstoß eine Warnung.

Provenienz und Überwachung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu, sobald Advisories erscheinen.

CRACI analysiert keine Binärdateien und führt keine Erreichbarkeitsanalyse durch. Seine Build-Aufzeichnung umfasst Builds, die darauf laufen, und Sie können SBOMs ergänzen, die Ihre Hersteller liefern. Bei Lieferanten-Firmware, die Sie als Binärdatei ohne SBOM erhalten, deckt Finite State ab, was CRACI nicht abdeckt.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wann Sie welches Tool einsetzen und wann beide

Der Großteil Ihrer Firmware stammt von Lieferanten. Finite State. Binäranalyse und die Aufnahme von Lieferanten-SBOMs sind dafür gebaut.
Sie bauen Ihre eigenen Images und Apps in GitHub Actions. CRACI zeichnet jeden Build auf. Laden Sie dasselbe Artefakt zu Finite State hoch, und Sie haben Build-Aufzeichnung und Binäranalyse nebeneinander.
Sie brauchen ein führendes System für viele Produkte und Lieferanten. Finite State. Die SBOMs von CRACI lassen sich als CycloneDX oder SPDX exportieren, Formate, die Finite State über seine Upload-Action akzeptiert.
Sie wollen begrenzen, was Builds herunterladen können. CRACI. Diese Kontrolle gibt es nur dort, wo der Build läuft.

Für den CRA

Der Cyber Resilience Act verlangt von Herstellern, die Komponenten ihrer Produkte zu ermitteln und zu dokumentieren, einschließlich einer SBOM, Schwachstellen während des Unterstützungszeitraums zu behandeln und ab September 2026 aktiv ausgenutzte Schwachstellen zu melden. Finite State hilft, diese Nachweise über ein Produkt und seine Lieferanten hinweg zusammenzustellen, mit Zuordnung zu CRA-Kontrollen und Berichten. CRACI hilft, indem es pro Build Nachweise darüber erzeugt, was in die von Ihnen gebaute Software eingeflossen ist, mit Provenienz, laufender Überwachung und SBOM-Export als CycloneDX oder SPDX. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Hersteller für ihren umfassenderen CRA-Compliance-Prozess brauchen; für sich allein macht es ein Produkt nicht konform. Lesen Sie, was der CRA verlangt.

CRACI neben Finite State einsetzen

Aus Finite State muss nichts herausgelöst werden. Stellen Sie Ihren Build-Job auf runs-on: craci um, behalten Sie den Finite-State-Upload-Schritt, und derselbe Workflow läuft auf einem CRACI-Runner, während CRACI ihn aufzeichnet. Für Yocto zeigt das Beispiel in der CRACI-Dokumentation einen vollständigen BitBake-Workflow. CRACI unterstützt heute nur GitHub Actions; GitLab-CI- oder Jenkins-Pipelines müssten also umziehen, um CRACI-Runner zu nutzen. GitLab CI und Jenkins sind auf der Roadmap. Sehen Sie, wie CRACI für Industrial IoT und Unterhaltungselektronik funktioniert.

Sie wägen mehr als zwei Tools ab? Finite-State-Alternativen vergleicht neun Optionen nebeneinander.