CRACI vs Renovate

Het korte antwoord

Renovate is gebouwd voor de hygiëne van afhankelijkheden: het vindt pakketbestanden, opent pull requests voor updates en laat u de ruis beheersen met schema's, groepering en automerge. CRACI is een GitHub Actions-runner die vastlegt wat elke build ophaalde en die SBOM's monitort op nieuwe kwetsbaarheden. Renovate vraagt: "is er een nieuwere versie?" CRACI vraagt: "is iets in wat we hebben gebouwd en geleverd kwetsbaar, en waar?" Ze concurreren niet om dezelfde taak, en ze draaien naast elkaar: Renovate opent de pull requests voor updates, CRACI vertelt u welke builds er een nodig hebben.

Waar Renovate sterk in is

De documentatie van Renovate opent met "Automated dependency updates. Multi-platform and multi-language." Het maakt beide helften waar. Het "looks for references to dependencies (both public and private)" in uw repository en opent, wanneer er nieuwere versies zijn, pull requests die ze en hun lockfiles bijwerken.

• Breedte. Meer dan 90 pakketbeheerders, en repositories op GitHub, GitLab, Bitbucket, Azure DevOps, Gitea en Forgejo, met AWS CodeCommit, Gerrit en SCM-Manager vermeld als experimenteel.
• Controle. Deelbare configuratiepresets, packageRules voor gedrag per pakket, schema's om te beperken wanneer pull requests verschijnen, en automerge voor de updates die u vertrouwt. De documentatie merkt op dat de meeste teams major-updates aan een mens overlaten.
• Zichtbaarheid. Een Dependency Dashboard-issue, standaard ingeschakeld in config:recommended, en informatie die helpt bepalen welke updates u accepteert: leeftijd, adoptie, slagingspercentages en merge confidence.
• Bereik. Custom managers verwerken propriëtaire bestandsformaten en populaire formaten die Renovate nog niet ondersteunt.
• Keuze in deployment. Open source onder AGPL-3.0 en onderhouden door Mend. U kunt de CLI of het Docker-image zelf draaien, de gratis cloudapp Mend Renovate Community gebruiken op GitHub.com en Bitbucket Cloud, of de self-hosted Community- of betaalde Enterprise-edities draaien.

Hoe Renovate met kwetsbaarheden omgaat

Renovate heeft twee routes naar beveiligingsfixes. Met vulnerabilityAlerts leest het de kwetsbaarheidsmeldingen van GitHub, waarvoor de dependency graph en Dependabot-meldingen ingeschakeld moeten zijn. Die pull requests "skip the line," waarbij ze schema's en uurlimieten negeren, en standaard gaan ze naar de laagste versie met de fix. Met osvVulnerabilityAlerts controleert het afhankelijkheden aan de hand van de OSV-database, die het downloadt en offline raadpleegt. De documentatie is precies over de beperking: "You will only get OSV-based vulnerability alerts for direct dependencies," voor een vermelde set datasources.

CRACI vervangt hier niets van, en het opent geen pull requests. Is uw doel honderden repositories met minimale moeite actueel te houden, dan is Renovate daarvoor gebouwd.

Waarin CRACI verschilt

Het begint bij de build, niet bij de pakketbestanden

Renovate werkt vanuit wat uw repository declareert. Een build doet vaak meer dan dat: hij bepaalt versies tijdens de installatie, zet pakketten terug uit caches en downloadt tools, OS-pakketten en images die in geen enkel manifest staan. expressjs/express 5.2.1 laat het gat op zijn duidelijkst zien: het commit geen lockfile, dus een generator die op een schone checkout wordt gericht, heeft niets om te resolven en rapporteert geen van zijn npm-afhankelijkheden, hoe goed de tool ook werkt. CRACI is zo niet te vergelijken, omdat het builds vastlegt in plaats van mappen te scannen. De bestanden in een repository en de pakketten in een build zijn niet dezelfde lijst.

CRACI draait de build. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt vast wat elke job ophaalt van npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Elke job en cache krijgt een volledigheidsstatus: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Monitoring van wat u hebt geleverd

CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen wanneer nieuwe advisories verschijnen. Verschijnt er een, dan ziet u welke builds en repositories het getroffen pakket daadwerkelijk gebruikten, inclusief pakketten die in geen enkel manifest staan, en securityteams kunnen de bevinding triëren en naar het team sturen dat verantwoordelijk is voor de fix. De aanleiding is een kwetsbaarheid in iets wat een build daadwerkelijk gebruikte, niet de komst van een nieuwe versie.

Meer dan monitoring

Omdat CRACI de runner is, dwingt het ook een egressbeleid per job af (standaard weigeren of toestaan, gevalideerd voordat de job start, fail-closed), levert het SBOM's, netwerktraces en herkomstgegevens via de API, en exporteert het SBOM's als CycloneDX of SPDX. Niets daarvan is de taak van Renovate.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Beide draaien

• Renovate houdt elke afhankelijkheid volgens schema actueel, over al uw platforms en pakketbeheerders heen, met automerge voor updates met een laag risico.
• CRACI legt elke GitHub Actions-build vast, monitort wat is geleverd en vertelt u welke builds en teams een nieuwe kwetsbaarheid raakt, zodat u weet welke pull requests voor updates u het eerst moet mergen.

Er is niets te migreren. Renovate blijft uw repositories lezen, en uw workflows blijven op GitHub Actions draaien op een andere runner.

Voor de Cyber Resilience Act

De CRA verwacht dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden daarin afhandelen. Renovate helpt door afhankelijkheden gepatcht en actueel te houden. CRACI legt de SBOM van elke build vast, monitort die op nieuwe kwetsbaarheden en bewaart het bewijs. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Zie wat de CRA is en het volgen van kwetsbaarheden.