CRACI vs Lineaje

En bref

Lineaje est une plateforme de chaîne d'approvisionnement logicielle. Elle scanne le code source, les dépôts d'artefacts et les conteneurs, note le risque de chaque composant, vérifie l'intégrité et l'origine, corrige ce qu'elle peut et partage les SBOM avec les clients via SBOM360 Hub. CRACI est un runner GitHub Actions qui enregistre les dépendances que chaque job a réellement récupérées et produit la SBOM à partir de cet enregistrement, avec un état de complétude.

Lineaje analyse ce qui existe. CRACI enregistre ce que le build a fait et le surveille : la CI, la SBOM et le suivi des vulnérabilités viennent donc d'un seul produit.

En un coup d'œil

Ce que Lineaje fait bien

• La profondeur d'analyse. SCA360 scanne « both the source and packaged code of every software component at every stage of software development », énumère les chaînes de dépendances obligatoires et optionnelles et détecte les vulnérabilités atteignables.
• L'intégrité et l'origine. Lineaje identifie les « embedded malicious and tampered packages », met en évidence les paquets d'origine douteuse et atteste de l'intégrité de chaque composant open source et privé. CRACI n'analyse pas les composants de cette façon.
• Corriger, pas seulement trouver. SBOM360 trouve des mises à jour compatibles pour les dépendances directes et les applique automatiquement après approbation, et il peut produire des clones de conteneurs compatibles et plus sûrs. Gold Open Source propose des paquets open source et des conteneurs corrigés, ainsi que des correctifs.
• L'échange de SBOM. SBOM360 Hub relie les SBOM aux références produit, les valide au regard des éléments minimaux NTIA, garde les documents VEX et CSAF associés à chaque SBOM et les partage avec les clients, les distributeurs et les revendeurs. Son API d'envoi « is compatible with any SBOM creation tool ».

Si votre priorité est d'analyser et d'assainir un vaste portefeuille existant, y compris du code que vous n'avez pas écrit, Lineaje couvre ce terrain plus largement que CRACI.

Ce qui distingue CRACI

Deux sens du mot provenance

Lineaje emploie le mot provenance surtout pour les composants : d'où vient un paquet open source, qui y a contribué et s'il présente des signes d'altération. CRACI l'emploie pour vos propres builds : ce que chaque build a récupéré. L'API renvoie les SBOM, les traces réseau et la provenance ; CRACI ne signe pas la provenance. Pour vos propres releases, ce que le build a récupéré est la question que pose un auditeur.

Un enregistrement du build, pas une analyse du résultat

CRACI exécute le job. Vous définissez runs-on sur craci, et un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets pendant le build : npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, ainsi que les presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré depuis un cache figure donc toujours dans l'enregistrement.

Cet enregistrement ne dépend pas des fichiers qui se trouvent être présents, et c'est là que le scan est le plus faible : un générateur rapporte ce qu'il reconnaît dans les fichiers qu'il a sous les yeux, si bien que deux générateurs lancés sur un même dépôt renvoient des listes différentes sans qu'aucun n'ait tort. Lineaje ne peut pas être comparé sur ce terrain, pas plus que CRACI, qui enregistre des builds et ne peut pas scanner un répertoire.

Un état de complétude sur chaque SBOM

La validation NTIA vérifie qu'une SBOM comporte les champs requis. CRACI ajoute un signal sur l'enregistrement lui-même, par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. Les lacunes de chaque SBOM sont connues.

Le contrôle sur le runner

Comme CRACI exécute le job, il applique une politique de trafic sortant : refus ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées, validée avant le démarrage du job et qui bloque tout en cas d'échec. Lineaje peut signaler un paquet d'origine douteuse ; une politique de trafic sortant limite d'emblée les sources qu'un build peut joindre.

Surveillance

CRACI réévalue en continu les SBOM surveillées et agrège les vulnérabilités de l'ensemble des builds et des dépôts : les résultats sont donc liés à ce que vous avez réellement livré.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

Remplacer Lineaje par CRACI

Pour les équipes logicielles sur GitHub Actions, CRACI couvre l'essentiel de ce pour quoi on choisit Lineaje : il produit la SBOM dans chaque build, continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées, agrège les résultats de l'ensemble des builds et des dépôts, et permet aux équipes sécurité de les trier et d'envoyer chacun à l'équipe chargée de la correction. Il n'y a pas de plateforme distincte de scan et d'inventaire à exploiter.

Sachez précisément à quoi vous renoncez. Lineaje analyse des composants que vous n'avez pas construits, vérifie les paquets à la recherche d'altérations et d'origines douteuses, trouve les vulnérabilités atteignables et propose des paquets et conteneurs corrigés via Gold Open Source. CRACI ne fait rien de tout cela aujourd'hui. SBOM360 Hub partage aussi des SBOM et des documents VEX et CSAF avec les clients et les distributeurs ; CRACI prend en charge VEX et exporte des SBOM, mais n'héberge pas de hub de partage. Si votre priorité est d'assainir un vaste portefeuille existant, code tiers compris, Lineaje convient mieux.

Pour le Cyber Resilience Act

Lineaje traite du CRA dans ses recommandations réglementaires : « SBOMs must be in a machine-readable format and include the top-level dependencies of the product », et elles « must be included in a product's technical documentation and provided to market surveillance authorities upon request. » Il renvoie à SBOM360, SBOM360 Hub et son Third Party Risk Manager pour le travail réglementaire.

Les obligations de signalement du CRA s'appliquent à partir du 11 septembre 2026 : une alerte précoce sous 24 heures pour une vulnérabilité activement exploitée, via la CRA Single Reporting Platform. Ses principales dispositions s'appliquent à partir du 11 décembre 2027. Les dépendances de premier niveau sont le minimum ; un paquet transitif fait tout de même partie de votre produit. CRACI enregistre l'ensemble complet des dépendances utilisées par chaque build, son API renvoie la SBOM CycloneDX de chaque build, la provenance et la trace réseau du job, et les SBOM s'exportent en CycloneDX ou SPDX.

CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun des deux produits ne rend un fabricant conforme à lui seul. Voir ce qu'exige le CRA et la conformité au CRA avec CRACI.