CRACI vs. ONEKEY | laiteohjelmistoanalyysi ja buildin näyttö

Lyhyt vastaus

ONEKEY on verkkoon kytkettyjen laitteiden tuoteturvallisuus- ja vaatimustenmukaisuusalusta. Lataat sille laiteohjelmistokuvan, ja se analysoi binäärin löytääkseen komponentit, tunnetut haavoittuvuudet, todennäköiset nollapäivähaavoittuvuudet ja vaatimustenmukaisuuden puutteet ilman lähdekoodia. CRACI on GitHub Actions -runneri, joka tallentaa, mitä kukin buildi hakee ajon aikana, ja tuottaa SBOM:n tästä kirjauksesta. ONEKEY analysoi lopputuloksen; CRACI säilyttää näytön buildista. Ne sopivat hyvin yhteen, eikä kumpikaan korvaa toista.

Yhdellä silmäyksellä

Ominaisuus	CRACI	ONEKEY
Tallentaa, mitä laiteohjelmiston buildi haki	Runneri havainnoi jokaisen jobin aikana	Analysoi kuvan sen valmistuttua
Ajaa CI-buildisi	Jobit ajetaan CRACI:n runnereilla	CI:si lataa laiteohjelmiston ONEKEYlle
Analysoi valmiin binäärikuvan		Automaattinen binäärisen laiteohjelmiston analyysi
Toimii laiteohjelmistolle, jota et buildannut	Edellyttää, että buildi ajetaan CRACI:lla	Ei vaadi lähdekoodia eikä verkkoyhteyttä
Binäärien nollapäiväanalyysi		Löytää ongelmia, kuten kovakoodatut tunnukset
SBOM CycloneDX- ja SPDX-muodossa	Buildista, kattavuustilan kera	Binääristä, lisäksi SBOM-tuonti
Egress-käytäntö buildin aikana	Tarkistetaan ennen jobia, fail closed	Sen toiminta-alueen ulkopuolella
Seuranta julkaisun jälkeen	Arvioi seurattuja SBOM:eja jatkuvasti uudelleen	Analysoi laiteohjelmiston uudelleen päivittäin
Ohjatut tarkistukset standardeja vasten	SBOM-vienti ja API, ei raporttivientiä eikä standardiohjattua työkalua	Compliance Wizard CRA:lle, IEC 62443:lle ja muille
CI-järjestelmät	GitHub Actions tänään; GitLab CI ja Jenkins tiekartalla	Dokumentoidut esimerkit GitHubille, GitLabille ja Jenkinsille

Sisältyy
Osittain
Ei sisälly

Missä ONEKEY on hyvä

Binäärianalyysi ilman lähdekoodia. ONEKEY analysoi käännetyn laiteohjelmiston suoraan. Sen sivusto sanoo sen suoraan: ”No source code or network access needed.” Sillä on merkitystä, kun suuri osa laitteessa toimitettavasta tulee piirivalmistajilta, moduulitoimittajilta ja alihankkijoilta, eikä heidän buildiaan koskaan näe.

Löydöksiä tunnettujen CVE:iden ulkopuolelta. Komponenttien haavoittuvuustietoihin vertaamisen lisäksi ONEKEY ajaa automaattisen nollapäiväanalyysin, joka etsii binääristä ongelmia, kuten komentoinjektioita, turvatonta tiedonsiirtoa ja kovakoodattuja tunnuksia.

SBOM:t kuvasta. ONEKEY generoi SBOM:n binääristä, antaa tuoda SBOM:eja lähdekoodiskannereista tai toimittajilta ja vie CycloneDX- ja SPDX-muotoon.

Vaatimustenmukaisuuden ohjaus. ONEKEY Compliance Wizard opastaa tiimejä kyberkestävyyssäädöksen, IEC 62443-4-2:n, ETSI EN 303 645:n ja radiolaitedirektiivin vaatimusten läpi ja vie tulokset kolmannen osapuolen sertifiointia varten.

Seuranta ja CI. Sen laiteohjelmistoseuranta analysoi ladatun laiteohjelmiston uudelleen päivittäin, kun uusia haavoittuvuuksia ilmenee. ONEKEYn dokumentaatio näyttää, miten kukin uusi buildi ladataan GitHubista, GitLabista tai Jenkinsistä ja miten CI/CD-putki pysäytetään, kun uusia löydöksiä ilmenee. ONEKEY ylläpitää myös unblobia, avoimen lähdekoodin työkalukokonaisuutta binäärimöhkäleiden purkamiseen.

Missä CRACI on erilainen

Binääriskannaus etenee taaksepäin valmiista kuvasta. CRACI etenee eteenpäin buildista, koska se on kone, jolla buildi ajetaan. Erityisesti Yocto-kuvista katso miksi SBOM-skannerit eivät näe kaikkea Yocto-buildien sisältöä.

Buildi on totuuden lähde

Laiteohjelmiston työnkulkusi ajetaan CRACI:n runnereilla yhden rivin muutoksella kohtaan runs-on. Jobin aikana paketit tunnistava välityspalvelin (proxy) tallentaa, mitä jobi lataa pakettilähteistä, ja CI-välimuisteista palautetut paketit siirtyvät mukaan. Jokainen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Yoctolle CRACI ajaa BitBakea runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia. core-image-sato-kuvan rinnakkaisessa buildissa CRACI:n SBOM sisälsi jokaisen Yocton oman SPDX-tulosteen komponentin, 88 komponenttia lisää, kuten isäntäpaketit ja GitHub Actionsit, sekä paketti-URL:n jokaiselle 653 Rust-crate-versiolle, jotka Yocto listaa ilman sellaista. Lähteet, jotka BitBake hakee Yocton lähdepeilistä, tallentuvat CRACI:n jobin SBOM:iin.

Hallinta siitä, mihin buildi saa yhteyden

Runnerin egress-käytäntö määrää, mihin palvelimiin jobi saa muodostaa yhteyden. Se validoidaan ennen jobin alkua, toimii fail closed -periaatteella ja lähettää hälytyksen rikkomuksesta. Yoctossa se lisää toisen suojakerroksen BitBaken oman BB_ALLOWED_NETWORKS-asetuksen rinnalle.

Alkuperätiedot ja se, mitä toimitettiin

API palauttaa SBOM:t, verkkoliikenteen jäljet ja alkuperätiedot (provenance). CRACI ei allekirjoita alkuperätietoja. Se kokoaa haavoittuvuudet buildeista ja repositorioista yhteen ja arvioi seurattuja SBOM:eja jatkuvasti uudelleen, kun tietoturvatiedotteita julkaistaan.

Yhtä tärkeää on se, mitä CRACI ei tee. Se ei analysoi binäärejä, joten se ei voi kertoa, mitä buildisi lataaman toimittajan binäärimöhkäleen sisällä on, vain sen, että buildi haki sen ja mistä.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus ilmenee, näet, missä tuotteissa haavoittuva versio on käytössä, eikä sinun tarvitse koota sitä julkaisutiedoista ja taulukoista.

Milloin kumpaakin käytetään, ja milloin molempia

Integroit laiteohjelmistoa, jota et itse buildaa. ONEKEY. Binäärianalyysi on tapa nähdä sen sisään.
Buildaat oman Linux-kuvasi GitHub Actionsissa. CRACI ajaa buildin ja tallentaa sen syötteet. ONEKEY antaa lisäksi toisen, riippumattoman näkymän valmiiseen kuvaan.
Auditoija kysyy, mistä tiedät SBOM:n vastaavan tuotetta. CRACI:n runnerilta saatu kirjaus vastaa kysymykseen ”mitä tähän buildiin meni”; ONEKEYn analyysi vastaa kysymykseen ”mitä tässä kuvassa on”. Yhdessä ne tarkistavat toisensa ristiin.
Tarvitset ohjattuja tarkistuksia IEC 62443:a tai ETSI EN 303 645:tä vasten. ONEKEYssä se on sisäänrakennettuna. CRACI vie SBOM:t CycloneDX- tai SPDX-muotoon, ja sen API palauttaa verkkoliikenteen jäljet ja alkuperätiedot laajempaa prosessiasi varten.

CRA:n kannalta

Kyberkestävyyssäädös edellyttää, että valmistajat tunnistavat ja dokumentoivat tuotteidensa komponentit, SBOM mukaan lukien, ja käsittelevät haavoittuvuuksia niin kauan kuin tuotetta tuetaan. Aktiivisesti hyödynnettyjen haavoittuvuuksien raportointivelvollisuus on voimassa syyskuusta 2026. ONEKEY auttaa analysoimalla markkinoille saattamasi laiteohjelmiston ja opastamalla vaatimusten läpi. CRACI auttaa tuottamalla buildikohtaisen näytön siitä, mitä laiteohjelmistoon meni, alkuperätietoineen ja jatkuvine seurantoineen. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota valmistajat tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa; se ei yksinään tee tuotteesta vaatimustenmukaista. Lue, mitä CRA vaatii.

CRACI ONEKEYn rinnalle

Pidä ONEKEY-latausvaiheesi. Siirrä laiteohjelmiston jobi CRACI-runnerille asettamalla runs-on: craci, niin sama työnkulku jatkaa ajoaan GitHub Actionsissa, kun CRACI tallentaa buildin. Lataus ONEKEYlle tapahtuu silloin buildista, josta sinulla on näyttö. CRACI:n dokumentaation Yocto-esimerkki näyttää kokonaisen BitBake-työnkulun. CRACI tukee tällä hetkellä vain GitHub Actionsia, joten GitLab- tai Jenkins-putket pitäisi siirtää, jotta ne voisivat käyttää CRACI:n runnereita. GitLab CI ja Jenkins ovat tiekartalla. Katso, miten CRACI toimii teollisessa IoT:ssä ja kuluttajaelektroniikassa.

Vertailetko useampaa kuin kahta työkalua? ONEKEYn vaihtoehdot vertailee yhdeksää vaihtoehtoa rinnakkain.