CRACI vs. FOSSA

Lyhyt vastaus

FOSSA on vahvimmillaan avoimen lähdekoodin lisenssien noudattamisessa ja SBOM:ien elinkaaren hallinnassa: se generoi sovellusten SBOM:eja, tuo kolmansien osapuolten SBOM:eja, valvoo niiden haavoittuvuuksia ja jakaa niitä asiakkaille ja viranomaisille. CRACI on GitHub Actions -runneri, joka tallentaa riippuvuudet, jotka kukin jobi todella haki, ja tuottaa SBOM:n tästä tallenteesta kattavuustilan kanssa.

FOSSA hallinnoi SBOM:eja, jotka annat sille. CRACI tuottaa SBOM:n buildista ja valvoo sitä jatkuvasti, joten oman ohjelmistosi CI, SBOM ja haavoittuvuuksien seuranta ovat samassa paikassa. Kun lisenssien noudattaminen on pääasia, FOSSA on edelleen edellä.

Yhdellä silmäyksellä

Missä FOSSA on hyvä

• Lisenssien noudattaminen. Tästä FOSSA aloitti, ja se näkyy. Se tunnistaa lisenssit koko tekstistä, soveltaa käytäntöjä automaattisesti, poimii tekijänoikeustiedot ja generoi attribuutioilmoitukset SPDX-, HTML- ja tekstimuodossa. Lakitiimi ja kehitystiimi voivat työskennellä samojen tietojen pohjalta.
• SBOM:n elinkaari. FOSSA "produces and consumes SBOMs." Se generoi SBOM:eja SPDX- ja CycloneDX-muodossa, valinnaisesti VDR- tai VEX-lausunnoilla, ja tuo olemassa olevia SBOM:eja voidakseen "analyze dependencies you don't build yourself." SBOM-käytännöt voivat vaatia tuoduilta tiedostoilta NTIA:n ja FDA:n vähimmäiselementit.
• Jakelu. Enterprise-tilauksessa SBOM Portal jakaa SBOM-tiedot kumppaneille tai julkisesti, joten sinun ei tarvitse lähettää tiedostoja asiakkaille sähköpostilla.
• Laaja skannaus. FOSSA CLI integroituu yli 20 build-järjestelmään, ja konttien skannaus sisältyy. Snippet- ja binääriskannaus ovat saatavilla lisäosina.
• Maksuton tapa aloittaa. Free-tilaus kattaa 5 projektia ja 5 tuotua SBOM:ia. Business maksaa $20 per projekti kuukaudessa vuosilaskutuksella, ja Enterprise hinnoitellaan erikseen (syyskuussa 2026).

Jos suurin ongelmasi on lisenssiriski tai monilta toimittajilta tulevien SBOM:ien hallinta, FOSSA kattaa alueita, joita CRACI ei kata. CRACI näyttää ilmoitetut lisenssitiedot, sisällyttää ne SBOM-vientiin ja valvoo lisenssikäytäntöä.

Missä CRACI on erilainen

SBOM perustuu siihen, mitä buildi teki

FOSSA CLI analysoi projektin integroitumalla sen build-työkaluun, kun toimiva buildi on saatavilla, ja päättelemällä riippuvuudet lähdekoodista, kun sitä ei ole. Tapa on järkevä, mutta se on silti projektin analysointia. CRACI sen sijaan ajaa jobin. Vaihdat runs-on-arvoksi craci, ja paketit tunnistava välityspalvelin tallentaa buildin aikana liikenteen pakettilähteisiin: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä latausesiasetukset. Riippuvuusnäyttö kulkee CI-välimuistien mukana, joten välimuistista palautettu paketti on edelleen tallenteessa, kaikki buildin käyttämät transitiiviset riippuvuudet mukaan lukien.

Menetelmällä on väliä, koska SBOM-generaattorit ovat eri mieltä, ja tarkoituksella. Kukin päättää itse, mikä lasketaan komponentiksi ja mihin tiedostoihin luotetaan, joten kun kaksi niistä ajetaan samaan repositorioon, tuloksena on kaksi päällekkäistä mutta erilaista listaa. FOSSAa ja CRACI:a ei voi verrata tällä tavalla, koska CRACI tallentaa buildeja eikä voi skannata hakemistoa. Kyse on staattisesta analyysistä yleensä: vastaus riippuu työkalusta, sen asetuksista ja paikalla olevista tiedostoista.

Se kertoo, kun tallenne on puutteellinen

FOSSAn SBOM-käytännöt tarkistavat, että vaaditut kentät ovat mukana. CRACI tuo toisenlaisen signaalin: jobi- ja välimuistikohtaisen kattavuustilan (Complete, Complete with connections, Incomplete, Unavailable tai Not recorded), joka kertoo, oliko itse tallennuksessa aukko. Kun auditoija kysyy, mistä tiedät inventaarion olevan kattava, tämä on vastaus.

Hallinta ja alkuperätiedot

Koska CRACI ajaa jobin, se valvoo lähtevän verkkoliikenteen käytäntöä: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet, validoitu ennen jobin alkua ja fail closed -periaatteella. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Valvonta

CRACI arvioi valvotut SBOM:t jatkuvasti uudelleen. FOSSAn fossabot ratkaisee eri ongelmaa: se tarkistaa riippuvuuspäivitykset, myös Dependabotin tai Renovaten tekemät, rikkovien muutosten ja vaikutusten varalta.

Inventaario siitä, mitä on otettu käyttöön missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus tulee tietoon, näet, missä tuotteissa haavoittuva versio on käytössä, eikä sinun tarvitse koota sitä julkaisutiedotteista ja taulukoista.

FOSSAn korvaaminen CRACI:lla

Itse rakentamasi ohjelmiston osalta CRACI kattaa sen, mitä FOSSAn SBOM- ja haavoittuvuusominaisuudet tekevät, suoraan lähteeltä. Se ajaa GitHub Actions -jobisi, tallentaa jokaisen buildin SBOM:n, arvioi valvotut SBOM:t jatkuvasti uudelleen uusien haavoittuvuuksien julkaisun myötä, kokoaa löydökset kaikista buildeista ja repositorioista ja antaa tietoturvatiimien tehdä niiden triagen ja ohjata kunkin korjauksesta vastaavalle tiimille. Myös toimittajien SBOM:eja voi lisätä, joten ostettuja komponentteja valvotaan omien buildiesi rinnalla. Erillistä CLI-vaihetta ei tarvitse ylläpitää.

Ole selvillä siitä, mistä luovut. FOSSAn lisenssien noudattaminen on kypsää: käytännöt, lisenssien tunnistus koko tekstistä, tekijänoikeustietojen poiminta ja attribuutioilmoitukset. CRACI vie jokaisen komponentin ilmoitetun lisenssin ja valvoo lisenssikäytäntöä, myös buildin estämistä lisenssin perusteella; FOSSAn tunnistus ja attribuutiotulosteet menevät pidemmälle. CRACI:ssa ei myöskään ole snippet- tai binääriskannausta eikä SBOM:ien jakoportaalia, ja se tukee toistaiseksi vain GitHub Actionsia; GitLab CI ja Jenkins ovat tiekartalla. Jos lisenssien noudattaminen on tärkein huolesi, pidä FOSSA.

Kyberkestävyyssäädöstä varten

FOSSA julkaisee ohjeistusta EU:n kyberkestävyyssäädöksestä (Cyber Resilience Act, CRA). Sen tiivistelmä SBOM-vaatimuksesta: valmistajat laativat SBOM:n yleisesti käytetyssä, koneluettavassa muodossa, joka kattaa "at the very least the top-level dependencies of the products", ja jakavat sen markkinavalvontaviranomaisille osana teknistä dokumentaatiota. FOSSA esittää CRA-apunaan tuonnin, generoinnin, haavoittuvuusanalyysin ja turvallisen jakamisen viranomaisille.

Ylimmän tason riippuvuudet ovat vähimmäistaso, eivät tavoite. Transitiivisen paketin haavoittuvuus on silti tuotteessasi. CRA:n raportointivelvoitteita sovelletaan 11.9.2026 alkaen, ja aktiivisesti hyödynnetystä haavoittuvuudesta on annettava ennakkovaroitus 24 tunnin kuluessa. Asetuksen pääsäännöksiä sovelletaan 11.12.2027 alkaen. CRACI tallentaa jokaisen buildin käyttämät riippuvuudet kokonaan, palauttaa SBOM:t, verkkojäljet ja alkuperätiedot API:nsa kautta ja vie SBOM:t CycloneDX- tai SPDX-muodossa haavoittuvuuksineen.

CRACI automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, joita yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa. Kumpikaan tuote ei yksin tee valmistajasta vaatimustenmukaista. Katso, mitä CRA vaatii, ja CRA-vaatimustenmukaisuus CRACI:lla.

CRACI ja FOSSA: usein kysyttyä

FOSSAn korvaaminen, hinnoittelu, SBOM-formaatit ja CI-tuki

Onko CRACI vaihtoehto FOSSAlle?

Kyllä, itse rakentamasi ohjelmiston SBOM:ien ja haavoittuvuuksien valvonnan osalta. CRACI ajaa GitHub Actions -jobisi, tallentaa jokaisen buildin SBOM:n, arvioi valvotut SBOM:t jatkuvasti uudelleen ja antaa tietoturvatiimien tehdä löydösten triagen (luokittelu ja priorisointi) ja ohjata ne korjauksesta vastaavalle tiimille. FOSSA on edelleen edellä avoimen lähdekoodin lisenssien noudattamisessa, joten jos se on tärkein huolesi, pidä FOSSA.

Korvaako CRACI FOSSAn vai toimiiko se sen rinnalla?

Oman ohjelmistosi osalta CRACI korvaa sen: CI, SBOM ja haavoittuvuuksien seuranta ovat samassa tuotteessa, eikä erillistä CLI-vaihetta tarvitse ylläpitää. Luovut FOSSAn kypsästä lisenssien noudattamisesta (lisenssien tunnistus koko tekstistä, tekijänoikeustietojen poiminta ja attribuutioilmoitukset), sen snippet- ja binääriskannauksen lisäosista sekä sen SBOM Portalista.

Miten CRACI:n hinnoittelu vertautuu FOSSAan?

Syyskuussa 2026 FOSSAlla on Free-tilaus, joka kattaa 5 projektia ja 5 tuotua SBOM:ia, Business hintaan $20 per projekti kuukaudessa vuosilaskutuksella sekä räätälöity Enterprise-hinnoittelu. CRACI veloittaa vain build-minuuteista: $0.002 per vCPU-minuutti ($0.004 oletusarvoiselle 2 vCPU:n runnerille), mitattuna sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista maksua. Ajantasaiset ehdot ovat sivulla hinnoittelu.

Mitä SBOM-formaatteja FOSSA ja CRACI tukevat?

Molemmat vievät SPDX- ja CycloneDX-muodossa. FOSSA voi lisätä SBOM:eihinsa VDR- tai VEX-lausuntoja. CRACI vie jokaisen buildin SBOM:n transitiivisine riippuvuuksineen ja kunkin komponentin ilmoitetun lisenssin kanssa, kertoo tallennuksen kattavuuden jobi- ja välimuistikohtaisesti ja tukee VEX:iä.

Voiko CRACI seurata toimittajien SBOM:eja kuten FOSSA?

Kyllä. Voit lisätä toimittajien SBOM:eja CRACI:iin, ja näitä ostettuja komponentteja valvotaan itse rakentamasi ohjelmiston rinnalla. FOSSA tuo SPDX- ja CycloneDX-tiedostoja ja voi soveltaa niihin SBOM-käytäntöjä, kuten NTIA:n ja FDA:n vähimmäiselementtien vaatimista.

Mitä CI-järjestelmiä FOSSA ja CRACI tukevat?

FOSSA CLI toimii CI:si sisällä ja integroituu yli 20 build-järjestelmään. CRACI on toistaiseksi runneri GitHub Actionsille; muut CI-järjestelmät, muun muassa GitLab CI ja Jenkins, ovat tiekartalla.

Auttaako CRACI kyberkestävyyssäädöksen kanssa?

Kyllä. CRACI tallentaa jokaisen buildin käyttämät riippuvuudet kokonaan, ei vain ylimmän tason riippuvuuksia, palauttaa SBOM:t, verkkojäljet ja alkuperätiedot API:nsa kautta ja valmistelee CRA:n haavoittuvuusilmoitusten sisällön, jonka sinä lähetät. Se automatisoi merkittävän osan toimitusketjun näkyvyydestä ja näytöstä, joita CRA-prosessisi tarvitsee; kumpikaan tuote ei yksin tee valmistajasta vaatimustenmukaista. Varaa demo ja vertaa CRACI:n SBOM:ia siihen, jota nyt hallinnoit.