ONEKEY 펌웨어 분석 대안

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 주세요. 각 도구는 해당 공급업체의 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇게 밝힙니다.

팀이 ONEKEY 외의 도구를 찾는 이유

ONEKEY는 커넥티드 디바이스를 위한 제품 사이버 보안 및 컴플라이언스 플랫폼입니다. "소스 코드나 네트워크 접근 없이" 컴파일된 펌웨어를 분석하고, 바이너리에서 SBOM을 생성하며, 공급업체 SBOM을 가져오고, CycloneDX와 SPDX로 내보냅니다. 제로데이 분석은 명령 주입과 하드코딩된 자격 증명 같은 문제를 찾고, 펌웨어 모니터링은 이미지를 매일 다시 분석하며, Compliance Wizard는 CRA, IEC 62443, ETSI EN 303 645, 무선 장비 지침(Radio Equipment Directive)을 다룹니다. ONEKEY는 GitHub, GitLab, Jenkins, Bitbucket과 연동되며, 오픈 소스 추출 도구 모음인 unblob을 유지 관리합니다.

그럼에도 팀이 대안을 비교하는 이유는 대개 다음 중 하나입니다.

• 펌웨어 대부분을 직접 만드는 경우. 이미지 분석은 결과물에서 거꾸로 추적하는 방식입니다. 자체 이미지를 빌드하는 팀은 그 대신 무엇이 들어갔는지 기록할 수 있습니다.
• 다른 범위가 필요한 경우. 소스 코드, 바이너리, 공급업체 발견 사항을 하나의 제품 기록으로 관리하거나, 도달 가능성으로 우선순위를 정하거나, 디바이스에서 실행되는 보호 기능을 원하는 팀도 있습니다.
• 악성코드와 변조. 릴리스에 주입된 코드가 있는지 확인하는 일은 구성 요소를 취약점 데이터와 대조하는 일과는 다릅니다.
• 요금과 호스팅. ONEKEY는 가격을 공개하지 않으며, 직접 실행하는 무료 도구를 원하는 팀도 있습니다.

검토할 사항

• 주로 공급받은 펌웨어를 분석하는지, 직접 빌드한 펌웨어를 분석하는지.
• SBOM이 어떻게 생성되는지, 그리고 SBOM이 불완전할 때 도구가 이를 알려 주는지.
• 알려진 CVE 외의 발견 사항: 제로데이, 시크릿, 악성코드, 변조.
• 우선순위 지정: 도달 가능성, 익스플로잇 인텔리전스, VEX.
• Cyber Resilience Act를 위한 증거: 어떤 릴리스에 영향받는 구성 요소가 있는지, 그리고 얼마나 빨리 알 수 있는지.
• CI 지원 범위, 호스팅 옵션, 요금이 늘어나는 방식.

선택지

1. CRACI (저희 제품)

CRACI는 빌드가 실행되는 동안 SBOM을 생성하는 GitHub Actions 러너입니다. 자체 펌웨어와 소프트웨어를 빌드하는 팀을 위한 제품입니다. 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 각 작업이 패키지 및 소스 호스트에서 가져오는 것을 기록하며, 각 SBOM은 작업별, 캐시별 완전성을 명시합니다. Yocto 빌드는 최대 32 vCPU, 96 GB RAM의 러너에서 실행됩니다. core-image-sato를 나란히 빌드한 비교에서 CRACI의 SBOM은 Yocto 자체 SBOM의 모든 구성 요소에 더해 호스트 패키지와 GitHub Actions 등 Yocto가 놓친 88개를 포함했으며, Yocto가 패키지 URL 없이 나열한 653개 Rust 크레이트 버전 각각에 패키지 URL을 담았습니다.

CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고, VEX를 지원하며, 보안 팀이 발견 사항을 분류해 각 항목을 수정 책임이 있는 팀에 전달할 수 있게 합니다. 공급업체 SBOM을 추가해 구매한 구성 요소를 자체 빌드와 나란히 모니터링할 수 있습니다. CRACI는 작업을 직접 실행하므로, 실패 시 차단되는 이그레스 정책도 적용합니다.

적합한 경우: GitHub Actions에서 자체 이미지를 빌드하며 빌드, SBOM, 취약점 추적을 한곳에서 관리하려는 디바이스 제조업체. 고려할 점: 바이너리 분석, 제로데이 분석, 컴플라이언스 마법사 없이도 괜찮은지 확인하세요. CRACI에는 이 중 어느 것도 없으며, 직접 빌드하지 않은 펌웨어의 내부는 볼 수 없습니다. GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI vs ONEKEY

2. Finite State

Finite State는 "50개 이상의 바이너리 명령어 집합 아키텍처 지원"을 내세우며 펌웨어, 바이너리, 소스 코드, 공급업체 SBOM을 분석하고 이를 하나의 제품 기록으로 모읍니다. 도달 가능성, 익스플로잇 인텔리전스, 제품 컨텍스트로 발견 사항의 순위를 정하고, VEX 결정을 기록하며, 컴플라이언스 워크플로는 CRA 통제 매핑과 SBOM 및 VEX 산출물을 갖춘 감사 대비 보고서를 다룹니다. GitHub Actions, GitLab CI, Jenkins에 점검을 내장합니다.

적합한 경우: 여러 공급업체의 펌웨어를 분석해야 하고, 도달 불가능한 발견 사항에서 오는 노이즈를 줄이고 싶은 커넥티드 디바이스 제조업체. 고려할 점: 이미지 중심 도구보다 소스, 바이너리, 공급업체 SBOM을 아우르는 하나의 플랫폼을 원하는 경우에 맞습니다. CRACI vs Finite State

3. Black Duck Binary Analysis

Black Duck Binary Analysis는 소스 코드 없이 실행 파일, 라이브러리, 컨테이너, 펌웨어, 모바일 앱에 포함된 오픈 소스를 식별합니다. 퍼지 매칭을 이용한 정적 분석과 문자열 분석을 사용하므로 수정된 구성 요소도 찾아냅니다. 취약점, 라이선스 문제, 토큰과 비밀번호 같은 노출된 시크릿을 보고합니다. Black Duck SCA, Coverity SAST와 함께 제공됩니다.

적합한 경우: 이미 소스 코드에 Black Duck을 사용하며 바이너리에도 같은 구성 요소 데이터를 원하는 조직. 고려할 점: 견적 기반 요금이 맞는지 확인하세요. 2026년 9월 기준 공개된 가격은 없었습니다. CRACI vs Black Duck

4. NetRise

NetRise Turbine은 "펌웨어/바이너리 분석으로 정확한 SBOM을 만들고 디바이스에서 실제로 실행되는 소프트웨어의 위험을 찾아내며", 도달 가능성과 악용 가능성으로 취약점의 우선순위를 정합니다. NetRise Provenance는 오픈 소스 구성 요소의 출처, 유지 관리자, 리포지토리 상태를 살펴봅니다. Dragos는 2026년 9월 21일 NetRise를 인수했으며, 운영 기술(OT) 환경을 위한 제품으로 포지셔닝하고 있습니다.

적합한 경우: 디바이스에서 무엇이 실행되는지 알아야 하는 제품 보안, 서드파티 위험, 사고 대응 팀, 특히 산업 및 핵심 인프라 분야. 고려할 점: 견적 기반 구매가 맞는지 확인하세요. NetRise는 가격을 공개하지 않으며, 2026년 9월부터 Dragos의 일부입니다.

5. Exein

Exein은 디바이스와 펌웨어 양쪽에서 동작합니다. Exein Runtime은 eBPF를 사용해 임베디드 Linux에서 악성 동작을 모니터링하고 차단하며, 오픈 소스 meta-exein Yocto 레이어는 Pulsar 에이전트를 이미지에 넣습니다. Exein Analyzer는 릴리스 전에 펌웨어를 검사하거나, 바이너리가 없을 때는 SBOM을 검사하고, 도달 가능성 점수와 LLM 기반 필터링으로 발견 사항의 순위를 정하며, 이를 CRA 요구 사항에 매핑합니다.

적합한 경우: 펌웨어 분석과 함께 현장에서의 보호도 원하는 임베디드 Linux 제조업체. 고려할 점: 디바이스에 에이전트를 탑재해 출시하는 데 문제가 없는 경우에 맞습니다. CRACI vs Exein

6. ReversingLabs Spectra Assure

Spectra Assure는 소스 코드 없이 컴파일된 소프트웨어 패키지에서 악성코드, 변조, 노출된 시크릿, 취약점을 분석하고, 발견한 내용으로 CycloneDX 및 SPDX SBOM을 생성합니다. 차등 분석은 버전을 비교해 릴리스 간의 의심스러운 변경을 표시합니다. rl-secure CLI는 온프레미스와 CI에서 실행됩니다.

적합한 경우: 출시하는 패키지나 배포 전 상용 소프트웨어에 대한 악성코드 및 변조 릴리스 게이트. 고려할 점: 소프트웨어 패키지보다 디바이스 펌웨어가 주 대상인지 확인하세요. Community는 무료이며 Community+는 월 $500입니다(2026년 9월 기준). CRACI vs ReversingLabs

7. RunSafe Security

RunSafe Identify는 "소프트웨어 빌드 시점에 임베디드 시스템의 상세한 SBOM을 생성해 바이너리 분석의 필요성을 없애며", C와 C++에 초점을 맞추고 CycloneDX로 출력합니다. RunSafe는 Yocto, QNX, Linux, VxWorks, Windows 빌드를 지원 대상으로 밝히고 있습니다. RunSafe Protect는 소스 코드 변경 없이 메모리 익스플로잇에 대한 런타임 코드 보호를 더하고, Monitor는 현장에서 발생하는 크래시를 추적합니다.

적합한 경우: 대규모 C 및 C++ 코드베이스를 보유하고 메모리 안전 보호를 원하는 자동차, 항공우주, 방위, 산업 분야 팀. 고려할 점: C와 C++ 이상의 지원 범위나 빌드가 연결할 수 있는 대상에 대한 통제가 필요한지 확인하세요. 요금은 견적제입니다.

8. Manifest

Manifest는 자사 제품, 공급업체 소프트웨어, AI 모델의 SBOM을 생성, 가져오기, 보강, 공유합니다. 공급업체는 포털을 통해 업로드하며, 공급업체가 SBOM을 제공할 수 없을 때 Manifest가 컴파일된 바이너리에서 SBOM을 생성할 수 있습니다. SPDX, CycloneDX, VEX를 지원하며, 발견 사항을 티켓과 위험 보고서로 전환합니다.

적합한 경우: 구매한 소프트웨어와 펌웨어가 주된 위험 노출 지점인 조직. 고려할 점: 제로데이 점검 같은 심층 펌웨어 분석이 필요한지 확인하세요. Manifest의 초점은 SBOM과 공급업체 위험 관리에 있습니다. CRACI vs Manifest

9. EMBA (오픈 소스)

EMBA는 "모의 해킹 전문가, 제품 보안 팀, 개발자, 책임 있는 제품 관리자를 위한 중심 펌웨어 분석 및 SBOM 도구로 설계된" GPLv3 펌웨어 분석 도구입니다. 펌웨어를 추출하고, 정적 분석과 에뮬레이션을 통한 동적 분석을 수행하며, SBOM을 생성하고, 안전하지 않은 바이너리, 오래된 구성 요소, 하드코딩된 비밀번호 같은 약점을 보고합니다. EMBArk가 웹 인터페이스를 더합니다.

적합한 경우: 라이선스 비용 없이 펌웨어 분석을 원하는 보안 팀과 모의 해킹 전문가. 고려할 점: Linux에서 직접 실행하고 유지 관리할 수 있어야 합니다. 공급업체 지원, 관리형 모니터링, 컴플라이언스 가이드는 없습니다.

한눈에 비교

"Black Duck BDBA"는 Black Duck Binary Analysis를, "NetRise"는 NetRise Turbine을, "ReversingLabs"는 Spectra Assure를, "RunSafe"는 Identify와 Protect를 뜻합니다. Manifest는 위에서 설명했으므로 표에서 제외했습니다. "명시되지 않음"은 해당 기능이 공급업체 문서에 설명되어 있지 않다는 뜻이지, 기능이 없다는 뜻이 아닙니다.

Cyber Resilience Act 대응

ONEKEY, Finite State, Exein은 모두 발견 사항을 CRA에 매핑합니다. CRA의 보고 의무는 2026년 9월 11일부터 적용되고 있으며, 주요 조항은 2027년 12월 11일부터 적용됩니다. 24시간 이내 조기 경보는 어떤 릴리스에 영향받는 구성 요소가 있는지 빠르게 아는 데 달려 있습니다. 직접 빌드하는 펌웨어의 경우 CRACI는 각 빌드의 SBOM과 함께 빌드 이력을 보관하므로, 어떤 빌드에 취약한 종속성이 포함되었는지 확인할 수 있습니다. API는 SBOM, 네트워크 기록, 출처 증명을 반환하고, SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있으며, CRACI는 CRA 통지 내용을 준비하고, 제출은 고객이 Single Reporting Platform을 통해 직접 합니다.

이 페이지의 어떤 도구도 그것만으로 제조업체를 규정 준수 상태로 만들어 주지는 않습니다. CRA의 요구 사항과 CRA 컴플라이언스 도구 비교를 참고하세요.

ONEKEY를 계속 사용해야 하는 경우

• 빌드 과정을 전혀 볼 수 없는 칩 공급업체, 모듈 공급업체, 협력업체의 펌웨어를 통합하는 경우.
• 이미지에서 명령 주입이나 하드코딩된 자격 증명처럼 알려진 CVE 외의 발견 사항을 원하는 경우.
• IEC 62443-4-2, ETSI EN 303 645 또는 무선 장비 지침에 대한 가이드형 점검에 의존하는 경우.
• 릴리스 후 각 펌웨어 이미지를 매일 다시 분석하고 싶은 경우.

자세한 내용은 CRACI의 Yocto 빌드, 임베디드 보안 도구 비교, Finite State 대안을 참고하세요.

ONEKEY 대안 FAQ

도구를 비교하는 팀이 자주 묻는 질문에 대한 간단한 답변

ONEKEY의 가장 좋은 대안은 무엇입니까?

ONEKEY를 어떤 용도로 쓰는지에 따라 다릅니다. 여러 공급업체의 펌웨어를 도달 가능성과 함께 하나의 제품 기록으로 관리하려면 Finite State를 살펴보세요. 소스 코드 SCA와 함께 바이너리 분석이 필요하다면 Black Duck Binary Analysis를 검토하세요. 디바이스 상의 런타임 보호까지 원한다면 Exein이나 RunSafe가 있습니다. 악성코드 및 변조 검사에는 ReversingLabs Spectra Assure를, 무료 도구로는 EMBA를 살펴보세요. GitHub Actions에서 자체 펌웨어를 빌드한다면, CRACI가 각 빌드에서 SBOM을 기록하고 취약점을 모니터링합니다.

CRACI는 ONEKEY처럼 펌웨어 이미지를 분석할 수 있습니까?

아닙니다. CRACI는 바이너리나 펌웨어 이미지를 분석하지 않으며 제로데이를 찾지도 않습니다. CRACI는 Yocto 빌드를 포함해 자체 빌드가 CRACI의 GitHub Actions 러너에서 실행되는 동안 가져오는 것을 기록하고, 그 기록으로 SBOM을 생성합니다. 바이너리로 받은 펌웨어의 경우 공급업체의 SBOM을 CRACI에 추가해 구성 요소를 모니터링할 수 있지만, SBOM이 없다면 바이너리 분석 도구가 필요합니다.

ONEKEY의 무료 대안이 있습니까?

EMBA는 GPLv3 라이선스의 무료 펌웨어 분석 도구입니다. 펌웨어를 추출하고, 정적 분석과 에뮬레이션을 통한 동적 분석을 수행하며, SBOM을 생성하고, 오래된 구성 요소와 하드코딩된 비밀번호 같은 약점을 보고합니다. Linux에서 직접 실행하며, EMBArk가 웹 인터페이스를 더합니다. ONEKEY의 Compliance Wizard 같은 가이드형 컴플라이언스 점검은 없습니다.

빌드 시점 SBOM이 바이너리 분석으로 만든 SBOM보다 낫습니까?

직접 빌드하는 펌웨어라면, 빌드 시점 SBOM은 이미지에서 추론하는 대신 실제로 들어간 것을 기록합니다. Rust나 C 같은 컴파일된 코드는 이미지에서 추론하기 어렵습니다. 직접 빌드하지 않은 펌웨어에는 여전히 바이너리 분석이 유일한 선택지입니다. core-image-sato 빌드를 나란히 비교한 결과, CRACI의 SBOM은 Yocto 자체 SBOM의 모든 구성 요소에 더해 Yocto가 놓친 88개를 포함했으며, Yocto가 패키지 URL 없이 나열한 653개 Rust 크레이트 버전 각각에 패키지 URL을 담았습니다.

CRACI에는 ONEKEY 같은 컴플라이언스 마법사가 있습니까?

없습니다. CRACI에는 IEC 62443, ETSI EN 303 645 또는 기타 표준에 대한 가이드형 점검이 없습니다. CRACI는 빌드에서 나온 증거를 제공합니다. CycloneDX 또는 SPDX 형식의 SBOM, 취약점 기록, API를 통한 출처 증명 데이터가 그것이며, CRA 통지 내용을 준비합니다(제출은 고객이 직접 합니다). 컴플라이언스 프로세스 자체는 제조업체의 몫입니다.