Jokainen älylaite toimitetaan laiteohjelmistolla, joka on rakennettu avoimen lähdekoodin paketeista, piirivalmistajien SDK:ista ja buildin aikana haetuista työkaluista. Toimitusketjuhyökkäykseen riittää yksi niistä. CRACI ajaa laiteohjelmistobuildisi, tallentaa jokaisen sisään menevän komponentin ja estää buildia pääsemästä mihinkään, mitä se ei tarvitse.
Suurimman osan verkkoon kytketyn laitteen koodista on kirjoittanut joku muu: sulautettu Linux-jakelu, piirivalmistajan board support -paketti, verkkopino, muutama sata avoimen lähdekoodin kirjastoa ja niiden alla olevat Rust-cratet. Samat komponentit toimitetaan monien brändien tuotteissa, ja laitteet pysyvät kodeissa vuosia, usein kauan sen jälkeen, kun kukaan viimeksi katsoi, mitä ne sisältävät.
Siksi yksi heikko komponentti on hyökkääjälle arvokas. Aukko jaetussa kirjastossa tai SDK:ssa avaa jokaisen sitä sisältävän tuotteen, ja myrkytetty julkaisu ulottuu jokaiseen buildiin, joka hakee sen. Nämä tapaukset näyttävät kaavan.
Yhdeksäntoista haavoittuvuutta, CVSS-pisteiltään jopa 10.0, pienessä TCP/IP-kirjastossa, jota laitevalmistajat olivat lisensoineet vuosia, usein toisella nimellä. Se oli monien toimittajien tuotteissa, ja monen niistä piti ensin selvittää, toimittivatko ne sitä ylipäätään.
Et voi paikata komponenttia, jonka toimittamisesta et tiedä.
Piirivalmistajan SDK:n aukot ulottuivat noin 200 laitemalliin noin 65 valmistajalta: reitittimiin, IP-kameroihin, älyvalaistuksen yhdyskäytäviin ja verkkoon kytkettyihin leluihin. Mirai-bottiverkko etsi niitä kaksi päivää sen jälkeen, kun yksityiskohdat tulivat julki.
Piirivalmistajan koodi on sinun koodiasi heti, kun se toimitetaan laitteessasi.
Takaovi istutettiin itse upstream-xz-projektiin, versioihin 5.6.0 ja 5.6.1. Sulautetut Linux-kuvat tuovat mukanaan xz:n kaltaisia pakkauskirjastoja itsestään selvästi, yleensä ilman että kukaan valitsee niitä.
Luotettu avoin lähdekoodi voi muuttua vihamieliseksi yhdessä julkaisussa.
Hyökkääjät käyttivät ASUSin omia allekirjoitusvarmenteita takaovella varustetun päivitystyökalun version allekirjoittamiseen ja jakelivat sen virallisilta päivityspalvelimilta. Kasperskyn arvion mukaan se on voinut tavoittaa yli miljoona käyttäjää.
Voimassa oleva allekirjoitus todistaa vain, kuka allekirjoitti, ei sitä, mitä sisään meni.
Laitteen koventaminen, kuten secure boot, ei oletussalasanoja ja suljettu debug-portti, suojaa toimittamaasi laitetta. Alla olevat vaiheet suojaavat sitä, mitä siihen menee.
CRACI kattaa tämän listan buildipuolen: jokaisen buildin SBOM:n, toimittajien SBOM:t, jatkuvan seurannan, buildien eristyksen, lähtevän liikenteen hallinnan ja käytäntöportit. Allekirjoitus ja laitteen koventaminen jäävät omille työkaluillesi.
Aja Yocto- ja muut sulautetun Linuxin buildisi CRACI:n GitHub Actions -runnereilla, jopa 32 vCPU:lla, x86-64- tai natiivilla ARM64-arkkitehtuurilla. Buildin aikana CRACI tallentaa jokaisen paketin ja tiedoston, jonka se hakee, myös isäntäpaketit, Git-lähteet, GitHub Actionsit ja lataukset, joita mikään resepti tai lukitustiedosto ei listaa. core-image-sato-buildissa CRACI:n SBOM sisälsi jokaisen komponentin Yocton omasta SBOM:sta sekä 88, jotka siltä jäivät pois, ja package URL -tunnisteen jokaiselle 653 Rust-crate-versiolle, joten kaikkia niitä voidaan seurata haavoittuvuuksien varalta.
Jokainen jobi ajetaan omassa eristetyssä virtuaalikoneessaan lähtevän liikenteen käytännön alaisena, joka validoidaan ennen jobin alkua ja toimii fail closed -periaatteella. Oletuksena estävällä käytännöllä buildi pääsee pakettilähteisiisi eikä minnekään muualle. Vaarantunut riippuvuus, joka yrittää lähettää allekirjoitusmateriaalisi tai tokenisi hyökkääjän palvelimelle, estetään ja siitä tulee hälytys, vaikka hyökkäys olisi uusi eikä kukaan olisi vielä julkaissut siitä tietoturvatiedotetta.
Lisää SBOM:t piirivalmistajiltasi ja muilta toimittajilta, niin ostettuja komponentteja seurataan rakentamasi ohjelmiston rinnalla. Kun seuraava SDK-haavoittuvuus julkaistaan, toimittajan koodi on samassa tallenteessa kuin omasi.
CRACI arvioi seuratut SBOM:t uudelleen aina, kun uusia haavoittuvuuksia julkaistaan. Buildihistoria näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, ja inventaarionäkymä näyttää, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa. Tietoturvatiimit tekevät jokaiselle löydökselle triagen ja ohjaavat sen korjauksen omistavalle tiimille, ja käytäntöportti voi pitää tietyn CVE:n poissa jokaisesta myöhemmästä buildista.
Kyberkestävyyssäädöksen mukainen CE-merkintä perustuu tekniseen dokumentaatioon ja vaatimustenmukaisuuden arviointiin. CRACI toimittaa toimitusketjun näytön, jota dokumentaatio tarvitsee: buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuustiedot ja buildihistorian. CRACI myös valmistelee CRA:n haavoittuvuusilmoitusten sisällön, jonka sinä lähetät. Vaatimustenmukaisuuden arviointi, EU-vaatimustenmukaisuusvakuutus ja CE-merkintä jäävät sinulle, valmistajalle.
CRACI ei allekirjoita laiteohjelmistoa, SBOM:ja eikä alkuperätietoja, eikä se havaitse uusia haitallisia paketteja käyttäytymisen tai maineen perusteella: se merkitsee haitallisen julkaisun, kun siitä on CVE-tunnisteellinen tietoturvatiedote, ja luottaa siihen asti lähtevän liikenteen käytäntöön. Se ei tee vaatimustenmukaisuuden arviointiasi eikä laadi vaatimustenmukaisuusvakuutustasi. Se ajaa tällä hetkellä GitHub Actions -jobeja Linux-runnereilla; GitLab CI, Jenkins sekä Windows- ja macOS-runnerit ovat tiekartalla.
Yleisiä kysymyksiä verkkoon kytkettyjen laitteiden ja niiden ohjelmistotoimitusketjun suojaamisesta
Se on hyökkäys, joka ulottuu laitteeseen jonkin sellaisen kautta, mihin sen valmistaja luottaa, eikä itse laitteen kautta: haavoittuvan avoimen lähdekoodin kirjaston, piirivalmistajan SDK:n, myrkytetyn pakettijulkaisun, vaarantuneen build-työkalun tai kaapatun päivityskanavan kautta. Koska sama komponentti toimitetaan monissa tuotteissa, yksi heikkous voi ulottua kerralla miljooniin laitteisiin monelta brändiltä.
Aloita siitä, mitä toimitat: pidä SBOM jokaisesta laiteohjelmistobuildista, seuraa toimittajien komponentteja ja tarkista toimitettuja versioita jatkuvasti, kun uusia haavoittuvuuksia ilmenee. Lukitse itse buildi, pidä tunnetusti huonot versiot poissa käytäntöporteilla, suojaa allekirjoitusavaimesi ja luo prosessi triagelle, korjauksille ja julkistamiselle. Laitteen koventaminen, kuten secure boot ja oletussalasanojen poistaminen, on myös tärkeää, mutta se ei auta, jos laiteohjelmistossa on jo haavoittuva komponentti.
Tunne jokainen kuvaan menevä komponentti, myös se, mitä buildi hakee reseptiesi ja lukitustiedostojesi ulkopuolelta, ja säilytä tallenne julkaisukohtaisesti. Rakenna eristetyssä ympäristössä, joka pääsee vain tarvitsemiinsa lähteisiin, jotta haitallinen riippuvuus ei voi lähettää salaisuuksiasi minnekään. Seuraa tallennettuja komponentteja ja toimittajiesi SBOM:ja uusien haavoittuvuuksien varalta niin kauan kuin laitteita tuetaan.
Kyllä. Yocto- ja BitBake-buildit ajetaan CRACI:n runnereilla, ja CRACI tallentaa jobin SBOM:n buildin aikana. Yocton oma SPDX-tuloste sisältää edelleen reseptien metatietoja, joita CRACI ei tallenna, kuten käytetyt paikkaukset ja CVE:t, jotka resepti merkitsee korjatuiksi, joten pidä create-spdx päällä, jos luotat niihin.
Kyllä, kun sinulla on niistä SBOM. Voit lisätä toimittajien SBOM:t CRACI:iin, ja niiden komponentteja seurataan rakentamasi ohjelmiston rinnalla. Kaikki, mitä buildisi lataa toimittajalta buildin aikana, tallentuu myös jobin SBOM:iin.
Ei käyttäytymisen tai maineen perusteella. Tunnettu haitallinen julkaisu, jolla on julkaistu CVE, kuten xz:n takaovi, merkitään kuten mikä tahansa muu haavoittuvuus, ja käytäntöportti voi estää buildit, jotka sisältävät sen. Uusia hyökkäyksiä vastaan CRACI:n suojana on oletuksena estäväksi asetettu lähtevän liikenteen käytäntö, joka estää buildia pääsemästä palvelimiin, joita se ei tarvitse.
Ei. CRACI ei allekirjoita laiteohjelmistoa, SBOM:ja eikä alkuperätietoja. Käytä edelleen omaa allekirjoitusprosessiasi ja laitteistopohjaista avainsäilöä julkaisuille ja päivityksille.
Kyberkestävyyssäädös kattaa EU:n markkinoille saatetut digitaalisia elementtejä sisältävät tuotteet, joihin kuuluu useimmat verkkoon kytketyt kuluttajalaitteet. Raportointivelvoitteita sovelletaan 11.9.2026 alkaen, ja asetusta sovelletaan kokonaisuudessaan 11.12.2027 alkaen. CRACI automatisoi merkittävän osan toimitusketjun näkyvyydestä ja näytöstä, jota CRA-prosessi tarvitsee; asetuksen vaatimusten täyttäminen on edelleen valmistajan prosessi.
CRACI ajaa GitHub Actions -jobeja Linux-runnereilla, x86-64 ja ARM64, 1–32 vCPU:lla. Muut CI-järjestelmät, kuten GitLab CI ja Jenkins, ovat tiekartalla, samoin Windows- ja macOS-runnerit.
Varaa demo, niin näytämme jokaisen komponentin, jonka laitebuildisi hakevat, ja sen, mitkä niistä ovat haavoittuvia
Varaa demo