CRACI vs Finite State

Het korte antwoord

Finite State is een platform voor productbeveiliging voor verbonden apparaten. Het analyseert firmware, binaries, broncode en SBOM's van leveranciers, prioriteert kwetsbaarheden op reachability en zet de resultaten om in bewijs voor regelgeving zoals de CRA. CRACI is een GitHub Actions-runner die vastlegt wat elke build tijdens het draaien binnenhaalt, op basis daarvan de SBOM maakt en bepaalt waarmee de build verbinding kan maken. Finite State analyseert wat u levert, waar het ook vandaan kwam; CRACI legt vast wat uw eigen build deed. Ze vullen elkaar grotendeels aan.

In één oogopslag

Waar Finite State sterk in is

Dekking van binaries en firmware. Finite State maakt SBOM's en een software-inventaris van firmware, binaries en broncode, "with support for 50+ binary instruction set architectures." Voor een apparaat dat code van veel leveranciers op ongebruikelijke chips draait, is die breedte precies het punt.

Eén dossier over leveranciers heen. Het brengt firmware, binaries, broncode, SBOM's van leveranciers en bevindingen van derden samen in één platform, wat helpt wanneer u moet controleren of wat een leverancier zegt klopt met wat er echt in het product zit.

Minder ruis. Finite State rangschikt bevindingen op reachability, exploitinformatie en productcontext. Het meldt dat van de bevindingen die het sinds 2024 op reachability analyseerde, 40,5% bevestigd onbereikbaar was. Het legt VEX-beslissingen vast met productimpact en exploiteerbaarheidsstatus.

Compliancebewijs. De complianceworkflow omvat de koppeling aan EU CRA-controles en het onderhouden van bewijs, en genereert auditklare rapporten met SBOM- en VEX-artefacten. Het behandelt ook kaders zoals FDA-richtlijnen, UN R155 en IEC 62443.

CI-integraties. Finite State bouwt controles in GitHub Actions, GitLab CI en Jenkins in. De Binary Scan-action uploadt een tijdens CI gebouwde binary naar het Finite State-platform voor een snelle of volledige scan.

Waarin CRACI verschilt

Finite State begint bij artefacten: de afgewerkte binary, de broncodeboom, de SBOM die een leverancier stuurde. CRACI begint bij de build zelf, omdat de build op CRACI draait.

Waargenomen, niet afgeleid

U wijzigt runs-on in craci en de job draait in een geïsoleerde virtuele machine op een CRACI-runner. Een proxy die pakketten herkent, legt vast wat de job uit pakketbronnen downloadt, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Firmwareteams kunnen Yocto draaien op runners met maximaal 32 vCPU's en 96 GB RAM. Bronnen die BitBake van de Yocto-bronmirror ophaalt, worden vastgelegd in de job-SBOM van CRACI.

Controle tijdens de build

Een scan van de output kan niet veranderen wat de build kon bereiken. Het egressbeleid van CRACI kan dat wel: het is standaard weigeren of toestaan, wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen wanneer advisories verschijnen.

CRACI analyseert geen binaries en doet geen reachability-analyse. De vastlegging dekt builds die erop draaien, en u kunt SBOM's toevoegen die uw leveranciers aanleveren. Voor firmware van leveranciers die u als binary zonder SBOM ontvangt, dekt Finite State terrein dat CRACI niet dekt.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wanneer u welke gebruikt, en wanneer beide

• Het grootste deel van uw firmware komt van leveranciers. Finite State. Binaire analyse en het inlezen van SBOM's van leveranciers zijn daarvoor gebouwd.
• U bouwt uw eigen images en apps in GitHub Actions. CRACI legt elke build vast. Upload hetzelfde artefact naar Finite State en u hebt de vastlegging van de build en de binaire analyse naast elkaar.
• U hebt een centraal dossier nodig voor veel producten en leveranciers. Finite State. De SBOM's van CRACI worden geëxporteerd als CycloneDX of SPDX, formaten die Finite State via zijn upload-action accepteert.
• U wilt beperken wat builds kunnen downloaden. CRACI. Die controle bestaat alleen waar de build draait.

Voor de CRA

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te identificeren en te documenteren, onder meer met een SBOM, kwetsbaarheden gedurende de ondersteuningsperiode af te handelen en, vanaf september 2026, actief uitgebuite kwetsbaarheden te melden. Finite State helpt dat bewijs samen te stellen over een product en zijn leveranciers heen, met koppeling aan CRA-controles en rapporten. CRACI helpt door per build bewijs te leveren van wat er in de software zit die u bouwt, met herkomstgegevens, doorlopende monitoring en SBOM-export als CycloneDX of SPDX. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat fabrikanten nodig hebben voor hun bredere CRA-nalevingsproces; het maakt een product niet op zichzelf compliant. Lees wat de CRA vereist.

CRACI toevoegen naast Finite State

Er hoeft niets uit Finite State weg. Stel runs-on: craci in op uw buildjob, houd de uploadstap van Finite State, en dezelfde workflow draait op een CRACI-runner terwijl CRACI hem vastlegt. Voor Yocto toont het voorbeeld in de CRACI-documentatie een volledige BitBake-workflow. CRACI ondersteunt vandaag alleen GitHub Actions, dus pipelines op GitLab CI of Jenkins moeten overstappen om CRACI-runners te gebruiken. GitLab CI en Jenkins staan op de roadmap. Bekijk hoe CRACI werkt voor industrieel IoT en consumentenelektronica.

Weegt u meer dan twee tools af? Alternatieven voor Finite State zet negen opties naast elkaar.