Comparativa
CRACI frente a ONEKEY
ONEKEY examina el firmware que usted distribuye. CRACI examina el build que lo generó. Para la mayoría de los fabricantes de dispositivos, ambos responden a preguntas distintas, y las dos preguntas surgen en el marco del Cyber Resilience Act.
Actualizado el
La respuesta corta
ONEKEY es una plataforma de ciberseguridad de producto y cumplimiento para dispositivos conectados. Usted sube una imagen de firmware y la plataforma analiza el binario para encontrar componentes, vulnerabilidades conocidas, probables zero-days y carencias de cumplimiento, sin necesidad de código fuente. CRACI es un runner de GitHub Actions que registra lo que incorpora cada build mientras se ejecuta y genera la SBOM a partir de ese registro. ONEKEY analiza la salida; CRACI conserva evidencia del build. Se complementan bien, y ninguno sustituye al otro.
De un vistazo
| Función | CRACI | ONEKEY |
|---|---|---|
| Registra lo que descargó el build de firmware | Lo observa el runner durante cada job | Analiza la imagen una vez compilada |
| Ejecuta sus builds de CI | Los jobs se ejecutan en runners de CRACI | Su CI sube el firmware a ONEKEY |
| Analiza la imagen binaria terminada | Análisis binario automatizado de firmware | |
| Funciona con firmware que usted no compiló | Necesita que el build se ejecute en CRACI | Sin necesidad de código fuente ni de acceso a la red |
| Análisis de zero-days en binarios | Encuentra problemas como credenciales incrustadas | |
| SBOM en CycloneDX y SPDX | Desde el build, con un estado de completitud | Desde el binario, además de importación de SBOM |
| Política de egress mientras se ejecuta el build | Se comprueba antes del job; si falla, bloquea | Fuera de su alcance |
| Monitorización tras el lanzamiento | Reevalúa continuamente las SBOM monitorizadas | Vuelve a analizar el firmware a diario |
| Comprobaciones guiadas frente a normas | Exportación de SBOM y API, sin exportación de informes ni asistente de normas | Compliance Wizard para el CRA, IEC 62443 y otras |
| Sistemas de CI | GitHub Actions hoy; GitLab CI y Jenkins en la hoja de ruta | Ejemplos documentados para GitHub, GitLab y Jenkins |
- Incluido
- En parte
- No incluido
Lo que ONEKEY hace bien
Análisis de binarios sin código fuente. ONEKEY analiza directamente el firmware compilado. Su sitio web lo dice sin rodeos: "No source code or network access needed." Eso importa cuando gran parte de lo que se distribuye en un dispositivo procede de fabricantes de chips, proveedores de módulos y contratistas, y usted nunca ve su build.
Hallazgos más allá de los CVE conocidos. Además de cotejar los componentes con datos de vulnerabilidades, ONEKEY ejecuta un análisis automatizado de zero-days que busca en el binario problemas como inyección de comandos, comunicación insegura y credenciales incrustadas.
SBOM a partir de la imagen. ONEKEY genera una SBOM a partir del binario, permite importar SBOM de escáneres de código fuente o de proveedores, y exporta CycloneDX y SPDX.
Orientación sobre el cumplimiento. El ONEKEY Compliance Wizard guía a los equipos por los requisitos del Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645 y la Radio Equipment Directive, y exporta los resultados para la certificación por terceros.
Monitorización y CI. Su monitorización de firmware vuelve a analizar a diario el firmware subido a medida que aparecen nuevas vulnerabilidades. La documentación de ONEKEY muestra cómo subir cada nuevo build desde GitHub, GitLab o Jenkins y hacer fallar el pipeline cuando aparecen nuevos hallazgos. ONEKEY también mantiene unblob, una suite de extracción de código abierto para blobs binarios.
En qué se diferencia CRACI
Un escaneo de binarios trabaja hacia atrás desde la imagen terminada. CRACI trabaja hacia delante desde el build, porque es la máquina en la que se ejecuta el build.
El build es la fuente de verdad
Su workflow de firmware se ejecuta en los runners de CRACI con un cambio de una línea en runs-on. Mientras se ejecuta un job, un proxy que entiende de paquetes registra lo que descarga de las fuentes de paquetes, y los paquetes restaurados desde cachés de CI se arrastran al registro. Cada SBOM indica cuán completa es, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Para Yocto, CRACI ejecuta BitBake en runners de hasta 32 vCPU y 96 GB de RAM. En un build comparado de core-image-sato, la SBOM de CRACI contenía todos los componentes de la salida SPDX propia de Yocto, 88 más, como paquetes del host y GitHub Actions, y una package URL para cada una de las 653 versiones de crates de Rust que Yocto enumera sin ella. Las fuentes que BitBake descarga del mirror de código fuente de Yocto quedan registradas en la SBOM del job de CRACI.
Control sobre lo que el build puede alcanzar
Una política de egress en el runner decide a qué hosts puede conectarse un job. Se valida antes de que empiece el job, bloquea si falla y envía una alerta ante una infracción. Para Yocto añade una segunda capa al propio BB_ALLOWED_NETWORKS de BitBake.
Procedencia y lo que se distribuyó
La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. Agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas a medida que aparecen avisos.
Aquí, lo que CRACI no hace importa tanto como lo que hace. No analiza binarios, así que no puede decirle qué hay dentro de un blob de proveedor que su build descargue, solo que el build lo descargó y de dónde.
Un inventario de qué está desplegado y dónde
La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.
Cuándo usar cada uno y cuándo usar los dos
- Integra firmware que no compila usted. ONEKEY. El análisis de binarios es la forma de ver su interior.
- Compila su propia imagen de Linux en GitHub Actions. CRACI ejecuta el build y registra sus entradas. Añadir ONEKEY le aporta una segunda visión independiente de la imagen terminada.
- Un auditor pregunta cómo sabe que la SBOM coincide con el producto. El registro de CRACI desde el runner responde «qué entró en este build»; el análisis de ONEKEY responde «qué hay en esta imagen». Juntos se contrastan entre sí.
- Necesita comprobaciones guiadas frente a IEC 62443 o ETSI EN 303 645. ONEKEY lo trae integrado. CRACI exporta SBOM en CycloneDX o SPDX, y su API devuelve trazas de red y procedencia, para su proceso más amplio.
Para el CRA
El Cyber Resilience Act pide a los fabricantes que identifiquen y documenten los componentes de sus productos, incluida una SBOM, y que gestionen las vulnerabilidades mientras el producto tenga soporte. La notificación de vulnerabilidades explotadas activamente se aplica desde septiembre de 2026. ONEKEY ayuda analizando el firmware que usted introduce en el mercado y guiándole por los requisitos. CRACI ayuda generando evidencia por build de lo que entró en ese firmware, con procedencia y monitorización continua. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que los fabricantes necesitan para su proceso más amplio de cumplimiento del CRA; por sí solo no hace que un producto cumpla. Lea qué exige el CRA.
Añadir CRACI junto a ONEKEY
Conserve su paso de subida a ONEKEY. Traslade el job de firmware a un runner de CRACI con runs-on: craci, y el mismo workflow seguirá ejecutándose en GitHub Actions mientras CRACI registra el build. La subida a ONEKEY parte entonces de un build del que usted tiene evidencia. El ejemplo de Yocto en la documentación de CRACI muestra un workflow completo de BitBake. CRACI solo es compatible hoy con GitHub Actions, así que los pipelines de GitLab o Jenkins tendrían que migrar para usar runners de CRACI. GitLab CI y Jenkins están en la hoja de ruta. Vea cómo funciona CRACI para el IoT industrial y la electrónica de consumo.
¿Valora más de dos herramientas? Alternativas a ONEKEY compara nueve opciones una junto a otra.
Traiga un build de firmware a la demo
Reserve una demo y ejecutaremos en CRACI uno de sus builds de firmware de GitHub Actions y repasaremos con usted lo que descargó.
Reservar una demo