ONEKEYのファームウェア解析の代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールのほうが適している場合はそう明記しています。

チームがONEKEY以外を検討する理由

ONEKEYは、コネクテッドデバイス向けの製品サイバーセキュリティとコンプライアンスのプラットフォームです。「ソースコードもネットワークアクセスも不要」でコンパイル済みファームウェアを解析し、バイナリからSBOMを生成し、サプライヤーのSBOMをインポートし、CycloneDXとSPDXでエクスポートします。ゼロデイ分析はコマンドインジェクションやハードコードされた認証情報などの問題を探し、ファームウェア監視はイメージを毎日再解析し、Compliance WizardはCRA、IEC 62443、ETSI EN 303 645、無線機器指令（Radio Equipment Directive）をカバーします。ONEKEYはGitHub、GitLab、Jenkins、Bitbucketと連携し、オープンソースの展開ツールスイートであるunblobをメンテナンスしています。

それでも代替ツールを比較するチームは、たいてい次のいずれかの理由からです。

• ファームウェアの大半が自社製。イメージの解析は、出力から逆算する方法です。自社でイメージをビルドするチームなら、代わりに何が取り込まれたかを記録できます。
• 求める範囲が異なる。ソースコード、バイナリ、サプライヤーの検出結果を1つの製品レコードにまとめたい、到達可能性で優先順位を付けたい、デバイス上で保護を動かしたいというチームもあります。
• マルウェアと改ざん。リリースに注入されたコードがないかを確認するのは、コンポーネントを脆弱性データと照合するのとは別の作業です。
• 料金とホスティング。ONEKEYは料金を公開しておらず、自分で運用できる無料のツールを求めるチームもあります。

選定のポイント

• 主に解析するのが、受け取ったファームウェアか、自社でビルドするファームウェアか。
• SBOMがどのように生成されるか、そしてSBOMが不完全なときにツールがそれを知らせてくれるか。
• 既知のCVE以外の検出：ゼロデイ、シークレット、マルウェア、改ざん。
• 優先順位付け：到達可能性、エクスプロイトインテリジェンス、VEX。
• Cyber Resilience Actのためのエビデンス：影響を受けるコンポーネントがどのリリースに含まれるか、そしてどれだけ早く把握できるか。
• 対応するCI、ホスティングの選択肢、料金の増え方。

選択肢

1. CRACI（当社製品）

CRACIは、ビルドの実行中にSBOMを生成するGitHub Actionsランナーです。自社でファームウェアとソフトウェアをビルドするチーム向けの製品です。パッケージを認識するプロキシが、CIキャッシュから復元されたパッケージも含め、各ジョブがパッケージホストとソースホストから取得するものを記録し、各SBOMはジョブごと・キャッシュごとに完全性を明示します。Yoctoビルドは最大32vCPU、96GBのRAMを備えたランナーで実行されます。core-image-satoのビルドで並べて比較したところ、CRACIのSBOMには、Yocto自身のSBOMにあるすべてのコンポーネントに加え、ホストパッケージやGitHub ActionsなどYoctoが見落とした88個が含まれ、YoctoがパッケージURLなしで記載している653個のRustクレートのバージョンすべてにパッケージURLが付いていました。

CRACIは監視対象のSBOMを継続的に再評価し、VEXに対応しています。セキュリティチームは検出結果をトリアージし、それぞれを修正担当のチームに割り当てられます。ベンダーのSBOMを追加できるため、購入したコンポーネントも自社のビルドと並べて監視できます。CRACIはジョブそのものを実行するため、フェイルクローズで動作するエグレスポリシーも適用します。

最適なケース：GitHub Actionsで自社のイメージをビルドしており、ビルド、SBOM、脆弱性トラッキングを1か所にまとめたいデバイスメーカー。検討すべき場合：バイナリ解析、ゼロデイ分析、コンプライアンスウィザードがなくても問題ない場合。CRACIはこれらのいずれも備えておらず、自社でビルドしていないファームウェアの中身は見えません。対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。CRACIとONEKEYの比較

2. Finite State

Finite Stateは、ファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを解析し（「50以上のバイナリ命令セットアーキテクチャに対応」）、それらを1つの製品レコードにまとめます。到達可能性、エクスプロイトインテリジェンス、製品のコンテキストで検出結果を順位付けし、VEXの判断を記録します。コンプライアンスワークフローは、CRAの管理策のマッピングと、SBOMとVEXのアーティファクトを含む監査対応レポートをカバーします。GitHub Actions、GitLab CI、Jenkinsにチェックを組み込めます。

最適なケース：多数のサプライヤーのファームウェアを解析する必要があり、到達不能な検出結果によるノイズを減らしたいコネクテッドデバイスメーカー。検討すべき場合：イメージ中心のツールではなく、ソース、バイナリ、サプライヤーのSBOMをまたぐ1つのプラットフォームを求める場合。CRACIとFinite Stateの比較

3. Black Duck Binary Analysis

Black Duck Binary Analysisは、ソースコードなしで、実行ファイル、ライブラリ、コンテナ、ファームウェア、モバイルアプリに含まれるオープンソースを特定します。静的解析と文字列解析をファジーマッチングと組み合わせるため、改変されたコンポーネントも検出できます。脆弱性、ライセンスの問題、トークンやパスワードなどの露出したシークレットを報告します。Black Duck SCAやCoverity SASTと並んで提供されています。

最適なケース：すでにソースコードにBlack Duckを使っており、バイナリについても同じコンポーネントデータを得たい組織。検討すべき場合：見積もり制の料金で問題ない場合。2026年9月時点で公開価格はありませんでした。CRACIとBlack Duckの比較

4. NetRise

NetRise Turbineは、「ファームウェア・バイナリ解析によって正確なSBOMを作成し、デバイス上で実際に実行されるソフトウェアのリスクを明らかにする」もので、到達可能性と悪用可能性によって脆弱性を優先順位付けします。NetRise Provenanceは、オープンソースコンポーネントの出自、メンテナー、リポジトリの健全性を確認します。Dragosは2026年9月21日にNetRiseを買収し、OT（運用技術）の機器群向けに位置付けています。

最適なケース：特に産業分野や重要インフラにおいて、デバイス上で何が動いているかを把握する必要がある製品セキュリティ、サードパーティリスク、インシデント対応のチーム。検討すべき場合：見積もりベースの購入で問題ない場合。NetRiseは料金を公開しておらず、2026年9月からDragosの一部となっています。

5. Exein

Exeinはデバイス上とファームウェアの両方で機能します。Exein RuntimeはeBPFを使って組み込みLinux上の悪意ある挙動を監視・ブロックし、オープンソースのmeta-exein YoctoレイヤーがPulsarエージェントをイメージに組み込みます。Exein Analyzerは、リリース前のファームウェア（バイナリがない場合はSBOM）を検査し、到達可能性スコアリングとLLMによるフィルタリングで検出結果を順位付けし、CRAの要件にマッピングします。

最適なケース：ファームウェア解析に加え、フィールドでの保護も求める組み込みLinuxのメーカー。検討すべき場合：デバイスにエージェントを搭載して出荷することに抵抗がない場合。CRACIとExeinの比較

6. ReversingLabs Spectra Assure

Spectra Assureは、ソースコードなしでコンパイル済みのソフトウェアパッケージを解析し、マルウェア、改ざん、露出したシークレット、脆弱性を調べ、その結果からCycloneDXとSPDXのSBOMを生成します。差分分析でバージョンを比較し、リリース間の不審な変更を指摘します。rl-secure CLIはオンプレミスとCIで動作します。

最適なケース：出荷するパッケージ、またはデプロイ前の商用ソフトウェアに対する、マルウェアと改ざんのリリースゲート。検討すべき場合：主な対象がソフトウェアパッケージではなくデバイスのファームウェアである場合。Communityは無料、Community+は月額$500です（2026年9月時点）。CRACIとReversingLabsの比較

7. RunSafe Security

RunSafe Identifyは、「ソフトウェアのビルド時に組み込みシステムの詳細なSBOMを生成し、バイナリ解析を不要にする」もので、CとC++に重点を置き、CycloneDXで出力します。RunSafeは、Yocto、QNX、Linux、VxWorks、Windowsのビルドを対応対象として挙げています。RunSafe Protectは、ソースコードを変更せずにメモリエクスプロイトに対するランタイムのコード保護を追加し、Monitorはフィールドでのクラッシュを追跡します。

最適なケース：大規模なCとC++のコードベースを持ち、メモリ安全性の保護を求める自動車、航空宇宙、防衛、産業分野のチーム。検討すべき場合：CとC++以外のカバーや、ビルドの接続先の制御が必要な場合。料金は見積もり制です。

8. Manifest

Manifestは、自社製品、ベンダーのソフトウェア、AIモデルのSBOMを作成、インポート、拡充、共有します。ベンダーはポータルからアップロードでき、ベンダーがSBOMを提供できない場合は、Manifestがコンパイル済みバイナリからSBOMを生成できます。SPDX、CycloneDX、VEXに対応し、検出結果をチケットやリスクレポートに変換します。

最適なケース：主なリスクが購入するソフトウェアとファームウェアにある組織。検討すべき場合：ゼロデイチェックなどの踏み込んだファームウェア解析が必要な場合。Manifestの重点は、SBOMとサプライヤーリスクの管理にあります。CRACIとManifestの比較

9. EMBA（オープンソース）

EMBAは、「ペネトレーションテスター、製品セキュリティチーム、開発者、責任ある製品マネージャーのための中核的なファームウェア解析・SBOMツールとして設計された」GPLv3のファームウェア解析ツールです。ファームウェアを展開し、静的解析とエミュレーションによる動的解析を実行し、SBOMを生成し、安全でないバイナリ、古いコンポーネント、ハードコードされたパスワードなどの弱点を報告します。EMBArkでWebインターフェースを追加できます。

最適なケース：ライセンス料なしでファームウェア解析を行いたいセキュリティチームとペネトレーションテスター。検討すべき場合：Linux上でご自身で運用・保守できる場合。ベンダーのサポート、マネージドの監視、コンプライアンスのガイダンスはありません。

一覧で比較

「Black Duck BDBA」はBlack Duck Binary Analysis、「NetRise」はNetRise Turbine、「ReversingLabs」はSpectra Assure、「RunSafe」はIdentifyとProtectを指します。Manifestは上記で説明しているため、表からは除いています。「記載なし」は、その機能がベンダーのドキュメントに記載されていないことを意味し、機能が存在しないことを意味するものではありません。

Cyber Resilience Actへの対応

ONEKEY、Finite State、Exeinはいずれも、検出結果をCRAにマッピングします。CRAの報告義務は2026年9月11日から適用されており、主要な規定は2027年12月11日から適用されます。24時間以内の早期警告は、影響を受けるコンポーネントがどのリリースに含まれるかをすばやく把握できるかにかかっています。自社でビルドするファームウェアについて、CRACIは各ビルドのSBOMとともにビルド履歴を保持するため、脆弱な依存関係を含んでいたビルドを確認できます。APIはSBOM、ネットワークトレース、来歴を返し、SBOMはCycloneDXまたはSPDXでエクスポートでき、CRACIはCRAの通知の内容を準備し、提出はお客様がSingle Reporting Platformを通じて行います。

このページのどのツールも、単体で製造業者のコンプライアンスを実現するものではありません。CRAの要件とCRAコンプライアンスツールの比較をご覧ください。

ONEKEYを使い続けるべき場合

• ビルドを見ることのできないチップベンダー、モジュールサプライヤー、委託先からのファームウェアを統合している。
• コマンドインジェクションやハードコードされた認証情報など、既知のCVE以外の問題もイメージ内で検出したい。
• IEC 62443-4-2、ETSI EN 303 645、無線機器指令に対するガイド付きチェックに依存している。
• リリース後も各ファームウェアイメージを毎日再解析したい。

詳しくは、CRACIでのYoctoビルド、組み込みセキュリティツールの比較、Finite Stateの代替ツールをご覧ください。

ONEKEYの代替ツールに関するよくあるご質問

比較検討の際にチームからよく寄せられる質問への簡潔な回答

ONEKEYの最適な代替ツールは何ですか？

ONEKEYを何に使っているかによります。多数のサプライヤーのファームウェアを到達可能性とともに1つの製品レコードで管理するならFinite State、ソースコードのSCAと並べてバイナリ解析を行うならBlack Duck Binary Analysis、デバイス上のランタイム保護も必要ならExeinかRunSafe、マルウェアと改ざんのチェックならReversingLabs Spectra Assure、無料のツールならEMBAを検討してください。自社のファームウェアをGitHub Actionsでビルドしている場合は、CRACIが各ビルドからSBOMを記録し、脆弱性を監視します。

CRACIはONEKEYのようにファームウェアイメージを解析できますか？

できません。CRACIはバイナリやファームウェアイメージを解析せず、ゼロデイも探しません。CRACIのGitHub Actionsランナーで実行される自社のビルド（Yoctoビルドを含む）が取得するものを記録し、その記録からSBOMを生成します。バイナリとして受け取ったファームウェアについては、ベンダーのSBOMをCRACIに追加すればそのコンポーネントを監視できますが、SBOMがない場合はバイナリ解析ツールが必要です。

ONEKEYの無料の代替ツールはありますか？

EMBAは、GPLv3の無料のファームウェア解析ツールです。ファームウェアを展開し、静的解析とエミュレーションによる動的解析を実行し、SBOMを生成し、古いコンポーネントやハードコードされたパスワードなどの弱点を報告します。Linux上でご自身で実行する必要があり、EMBArkでWebインターフェースを追加できます。ONEKEYのCompliance Wizardのようなガイド付きのコンプライアンスチェックはありません。

ビルド時SBOMはバイナリ解析によるSBOMより優れていますか？

自社でビルドするファームウェアについては、ビルド時SBOMはイメージから推測するのではなく、実際に取り込まれたものを記録します。RustやCのようなコンパイル済みコードでは、推測は困難です。一方、自社でビルドしていないファームウェアには、バイナリ解析が依然として唯一の選択肢です。core-image-satoのビルドで並べて比較したところ、CRACIのSBOMには、Yocto自身のSBOMにあるすべてのコンポーネントに加え、Yoctoが見落とした88個が含まれ、YoctoがパッケージURLなしで記載している653個のRustクレートのバージョンすべてにパッケージURLが付いていました。

CRACIにはONEKEYのようなコンプライアンスウィザードがありますか？

ありません。CRACIには、IEC 62443、ETSI EN 303 645、その他の規格に対するガイド付きチェックはありません。CRACIが提供するのはビルドから得たエビデンスです。CycloneDXまたはSPDXのSBOM、脆弱性の記録、APIによる来歴データを提供し、CRAの通知の内容を準備します（提出はお客様が行います）。コンプライアンスのプロセスは、引き続き製造業者が担います。