CRACI vs ONEKEY | Firmware-analyse en bewijs uit de build

Het korte antwoord

ONEKEY is een platform voor productcyberbeveiliging en compliance voor verbonden apparaten. U uploadt een firmware-image, en het analyseert de binary om componenten, bekende kwetsbaarheden, waarschijnlijke zero-days en compliancehiaten te vinden, zonder dat er broncode nodig is. CRACI is een GitHub Actions-runner die vastlegt wat elke build tijdens het draaien binnenhaalt en op basis daarvan de SBOM maakt. ONEKEY analyseert de output; CRACI bewaart bewijs uit de build. Ze passen goed bij elkaar, en geen van beide vervangt de ander.

In één oogopslag

Functie	CRACI	ONEKEY
Legt vast wat de firmwarebuild ophaalde	Tijdens elke job waargenomen door de runner	Analyseert het image nadat het is gebouwd
Draait uw CI-builds	Jobs draaien op CRACI-runners	Uw CI uploadt firmware naar ONEKEY
Analyseert het voltooide binaire image		Geautomatiseerde binaire firmwareanalyse
Werkt op firmware die u niet zelf hebt gebouwd	De build moet op CRACI draaien	Geen broncode of netwerktoegang nodig
Zero-day-analyse van binaries		Vindt problemen zoals hardcoded inloggegevens
SBOM in CycloneDX en SPDX	Uit de build, met een volledigheidsstatus	Uit de binary, plus import van SBOM's
Egressbeleid terwijl de build draait	Gecontroleerd vóór de job, fail-closed	Buiten de scope
Monitoring na de release	Beoordeelt gemonitorde SBOM's continu opnieuw	Analyseert firmware dagelijks opnieuw
Begeleide controles aan de hand van standaarden	SBOM-export en API, geen rapportexport of wizard voor standaarden	Compliance Wizard voor CRA, IEC 62443 en meer
CI-systemen	Vandaag GitHub Actions; GitLab CI en Jenkins staan op de roadmap	Gedocumenteerde voorbeelden voor GitHub, GitLab en Jenkins

Inbegrepen
Gedeeltelijk
Niet inbegrepen

Waar ONEKEY sterk in is

Binaire analyse zonder broncode. ONEKEY analyseert gecompileerde firmware rechtstreeks. De site zegt het zonder omwegen: "No source code or network access needed." Dat is belangrijk wanneer veel van wat op een apparaat wordt geleverd van chipleveranciers, moduleleveranciers en onderaannemers komt, en u hun build nooit ziet.

Bevindingen naast bekende CVE's. Naast het matchen van componenten met kwetsbaarheidsgegevens draait ONEKEY een geautomatiseerde zero-day-analyse die in de binary zoekt naar problemen zoals command injection, onveilige communicatie en hardcoded inloggegevens.

SBOM's uit het image. ONEKEY genereert een SBOM uit de binary, laat u SBOM's importeren van bronscanners of leveranciers, en exporteert CycloneDX en SPDX.

Begeleiding bij compliance. De ONEKEY Compliance Wizard leidt teams door de eisen van de Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645 en de Radio Equipment Directive, en exporteert resultaten voor certificering door derden.

Monitoring en CI. De firmwaremonitoring analyseert geüploade firmware dagelijks opnieuw wanneer nieuwe kwetsbaarheden verschijnen. De documentatie van ONEKEY laat zien hoe u elke nieuwe build uploadt vanuit GitHub, GitLab of Jenkins en de pipeline laat mislukken wanneer er nieuwe bevindingen zijn. ONEKEY onderhoudt ook unblob, een open-sourcesuite voor het extraheren van binaire blobs.

Waarin CRACI verschilt

Een binaire scan werkt terug vanaf het voltooide image. CRACI werkt vooruit vanaf de build, omdat het de machine is waarop de build draait.

De build is de bron van waarheid

Uw firmwareworkflow draait op de runners van CRACI met een wijziging van één regel in runs-on. Terwijl een job draait, legt een proxy die pakketten herkent vast wat de job uit pakketbronnen downloadt, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Voor Yocto draait CRACI BitBake op runners met maximaal 32 vCPU's en 96 GB RAM. In een vergelijkende build van core-image-sato bevatte de SBOM van CRACI elk component uit de eigen SPDX-uitvoer van Yocto, 88 extra zoals hostpakketten en GitHub Actions, en een package URL voor elk van de 653 Rust-crateversies die Yocto zonder package URL vermeldt. Bronnen die BitBake van de Yocto-bronmirror ophaalt, worden vastgelegd in de job-SBOM van CRACI.

Controle over wat de build kan bereiken

Een egressbeleid op de runner bepaalt met welke hosts een job verbinding mag maken. Het wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Voor Yocto voegt het een tweede laag toe aan de eigen BB_ALLOWED_NETWORKS van BitBake.

Herkomst en wat is geleverd

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Het bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen wanneer advisories verschijnen.

Wat CRACI niet doet, is hier net zo belangrijk. Het analyseert geen binaries, dus het kan u niet vertellen wat er in een blob van een leverancier zit die uw build downloadt, alleen dat de build die heeft opgehaald en waarvandaan.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wanneer u welke gebruikt, en wanneer beide

U integreert firmware die u niet zelf bouwt. ONEKEY. Binaire analyse is de manier om erin te kijken.
U bouwt uw eigen Linux-image in GitHub Actions. CRACI draait de build en legt de inputs vast. Met ONEKEY erbij krijgt u een tweede, onafhankelijke kijk op het voltooide image.
Een auditor vraagt hoe u weet dat de SBOM overeenkomt met het product. De vastlegging van CRACI vanaf de runner beantwoordt "wat is er in deze build gegaan"; de analyse van ONEKEY beantwoordt "wat zit er in dit image". Samen controleren ze elkaar.
U hebt begeleide controles aan de hand van IEC 62443 of ETSI EN 303 645 nodig. ONEKEY heeft dat ingebouwd. CRACI exporteert SBOM's als CycloneDX of SPDX, en de API levert netwerktraces en herkomstgegevens, voor uw bredere proces.

Voor de CRA

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te identificeren en te documenteren, onder meer met een SBOM, en kwetsbaarheden af te handelen zolang het product wordt ondersteund. Het melden van actief uitgebuite kwetsbaarheden geldt vanaf september 2026. ONEKEY helpt door de firmware te analyseren die u op de markt brengt en u door de eisen te leiden. CRACI helpt door per build bewijs te leveren van wat er in die firmware is gegaan, met herkomstgegevens en doorlopende monitoring. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat fabrikanten nodig hebben voor hun bredere CRA-nalevingsproces; het maakt een product niet op zichzelf compliant. Lees wat de CRA vereist.

CRACI toevoegen naast ONEKEY

Behoud uw uploadstap naar ONEKEY. Zet de firmwarejob over naar een CRACI-runner met runs-on: craci, en dezelfde workflow blijft in GitHub Actions draaien terwijl CRACI de build vastlegt. De upload naar ONEKEY komt dan van een build waarvoor u bewijs hebt. Het Yocto-voorbeeld in de CRACI-documentatie toont een volledige BitBake-workflow. CRACI ondersteunt vandaag alleen GitHub Actions, dus pipelines op GitLab of Jenkins moeten overstappen om CRACI-runners te gebruiken. GitLab CI en Jenkins staan op de roadmap. Bekijk hoe CRACI werkt voor industrieel IoT en consumentenelektronica.

Weegt u meer dan twee tools af? Alternatieven voor ONEKEY zet negen opties naast elkaar.