Elk slim apparaat wordt geleverd met firmware die is gebouwd uit open-sourcepakketten, SDK's van chipleveranciers en tools die tijdens de build worden opgehaald. Een aanval op de softwareketen heeft er maar één nodig. CRACI draait uw firmwarebuilds, legt elk component vast dat erin gaat en voorkomt dat de build iets bereikt wat hij niet nodig heeft.
De meeste code in een verbonden apparaat is door iemand anders geschreven: een embedded Linux-distributie, het board support package van de chipleverancier, een netwerkstack, een paar honderd open-sourcebibliotheken en de Rust-crates daaronder. Dezelfde componenten zitten in producten van veel merken, en de apparaten blijven jarenlang in huis, vaak lang nadat iemand voor het laatst heeft gekeken wat erin zit.
Daardoor is één zwak component voor een aanvaller veel waard. Een fout in een gedeelde bibliotheek of SDK opent elk product waarin die zit, en een vergiftigde release bereikt elke build die hem binnenhaalt. Deze incidenten laten dat patroon zien.
Negentien kwetsbaarheden, tot CVSS 10.0, in een kleine TCP/IP-bibliotheek die apparaatmakers al jaren in licentie hadden, vaak onder een andere naam. Die zat in producten van veel leveranciers, en velen moesten eerst uitzoeken of ze die überhaupt leverden.
U kunt geen component patchen waarvan u niet weet dat u het levert.
Fouten in de SDK van een chipleverancier bereikten ongeveer 200 apparaatmodellen van zo'n 65 fabrikanten: routers, IP-camera's, gateways voor slimme verlichting, speelgoed met internetverbinding. Twee dagen nadat de details openbaar werden, zocht een Mirai-botnet er al naar.
De code van de chipleverancier is uw code zodra die in uw apparaat zit.
Er werd een backdoor geplaatst in het upstream xz-project zelf, in de versies 5.6.0 en 5.6.1. Embedded Linux-images halen compressiebibliotheken zoals xz vanzelfsprekend binnen, meestal zonder dat iemand ervoor kiest.
Vertrouwde open source kan in één release vijandig worden.
Aanvallers gebruikten de eigen ondertekeningscertificaten van ASUS om een versie van het updateprogramma met een backdoor te ondertekenen en verspreidden die via de officiële updateservers. Kaspersky schatte dat dit mogelijk meer dan een miljoen gebruikers heeft bereikt.
Een geldige handtekening bewijst alleen wie heeft ondertekend, niet wat erin zit.
Apparaathardening, zoals secure boot, geen standaardwachtwoorden en een gesloten debugpoort, beschermt het apparaat dat u levert. De onderstaande stappen beschermen wat erin gaat.
CRACI dekt de buildkant van deze lijst: de SBOM van elke build, SBOM's van leveranciers, continue monitoring, isolatie van builds, egresscontrole en policy gates. Ondertekening en apparaathardening blijven bij uw eigen tools.
Draai uw Yocto- en andere embedded Linux-builds op de GitHub Actions-runners van CRACI, tot 32 vCPU's, op x86-64 of native ARM64. Terwijl de build draait, legt CRACI elk pakket en bestand vast dat hij binnenhaalt, inclusief hostpakketten, Git-bronnen, GitHub Actions en downloads die in geen enkele recipe of lockfile staan. In een core-image-sato-build bevatte de SBOM van CRACI elk component uit de eigen SBOM van Yocto plus 88 die daarin ontbraken, met een package URL voor elk van de 653 Rust-crateversies, zodat ze allemaal op kwetsbaarheden kunnen worden gemonitord.
Elke job draait in zijn eigen geïsoleerde virtuele machine onder een egressbeleid dat wordt gevalideerd voordat de job start en bij een fout blokkeert (fail closed). Met een default-deny-beleid bereikt de build uw pakketbronnen en verder niets. Een gecompromitteerde afhankelijkheid die uw ondertekeningsmateriaal of tokens naar de host van een aanvaller probeert te sturen, wordt geblokkeerd en leidt tot een melding, zelfs als de aanval nieuw is en nog niemand er een advisory over heeft gepubliceerd.
Voeg SBOM's toe van uw chipleveranciers en andere leveranciers, en de ingekochte componenten worden gemonitord naast de software die u bouwt. Wanneer de volgende SDK-kwetsbaarheid opduikt, staat de code van de leverancier in dezelfde vastlegging als die van u.
CRACI blijft gemonitorde SBOM's opnieuw beoordelen zodra er nieuwe kwetsbaarheden worden gepubliceerd. De buildgeschiedenis toont welke builds de kwetsbare afhankelijkheid bevatten, direct of transitief, en de inventarisweergave toont welke softwareversies in welke producten zijn uitgerold. Securityteams triëren elke bevinding en sturen die naar het team dat verantwoordelijk is voor de fix, en een policy gate kan een specifieke CVE uit elke latere build houden.
CE-markering onder de Cyber Resilience Act berust op technische documentatie en een conformiteitsbeoordeling. CRACI levert het bewijs over de softwareketen dat die documentatie nodig heeft: SBOM's uit de build, geëxporteerd als CycloneDX of SPDX, kwetsbaarheidsrecords en de buildgeschiedenis. CRACI dient ook de CRA-meldingen over kwetsbaarheden namens u in. De conformiteitsbeoordeling, de EU-conformiteitsverklaring en de CE-markering blijven bij u, de fabrikant.
CRACI ondertekent geen firmware, SBOM's of herkomstgegevens, en detecteert nieuwe kwaadaardige pakketten niet op gedrag of reputatie: het markeert een kwaadaardige release zodra er een advisory met een CVE bestaat, en vertrouwt tot die tijd op het egressbeleid. Het voert uw conformiteitsbeoordeling niet uit en stelt uw conformiteitsverklaring niet op. Het draait vandaag GitHub Actions-jobs op Linux-runners; GitLab CI, Jenkins en Windows- en macOS-runners staan op de roadmap.
Veelgestelde vragen over het beveiligen van verbonden apparaten en hun softwareketen
Dat is een aanval die een apparaat bereikt via iets waarop de maker vertrouwt in plaats van via het apparaat zelf: een kwetsbare open-sourcebibliotheek, de SDK van een chipleverancier, een vergiftigde pakketrelease, een gecompromitteerde buildtool of een gekaapt updatekanaal. Omdat hetzelfde component in veel producten zit, kan één zwakte in één keer miljoenen apparaten van veel merken bereiken.
Begin bij wat u levert: bewaar een SBOM voor elke firmwarebuild, volg leverancierscomponenten en blijf geleverde versies controleren zodra er nieuwe kwetsbaarheden verschijnen. Vergrendel de build zelf, houd bekende slechte versies met policy gates buiten de deur, bescherm uw ondertekeningssleutels en zorg voor een proces voor triage, fixes en openbaarmaking. Apparaathardening, zoals secure boot en het uitschakelen van standaardwachtwoorden, is ook belangrijk, maar helpt niet als de firmware al een kwetsbaar component bevat.
Ken elk component dat in de image gaat, inclusief wat de build buiten uw recipes en lockfiles om ophaalt, en bewaar die vastlegging per release. Bouw in een geïsoleerde omgeving die alleen de bronnen kan bereiken die ze nodig heeft, zodat een kwaadaardige afhankelijkheid uw secrets nergens naartoe kan sturen. Monitor de vastgelegde componenten en de SBOM's van uw leveranciers op nieuwe kwetsbaarheden zolang de apparaten worden ondersteund.
Ja. Yocto- en BitBake-builds draaien op CRACI-runners, en CRACI legt de SBOM van de job vast terwijl de build draait. De eigen SPDX-uitvoer van Yocto bevat nog steeds recipe-metadata die CRACI niet vastlegt, zoals de toegepaste patches en de CVE's die een recipe als opgelost markeert, dus laat create-spdx aan staan als u daarvan afhankelijk bent.
Ja, als u daarvoor een SBOM hebt. U kunt SBOM's van leveranciers aan CRACI toevoegen, en die componenten worden gemonitord naast de software die u bouwt. Alles wat uw build tijdens de build van een leverancier downloadt, wordt ook in de SBOM van de job vastgelegd.
Niet op gedrag of reputatie. Een bekende kwaadaardige release met een gepubliceerde CVE, zoals de xz-backdoor, wordt gemarkeerd zoals elke andere kwetsbaarheid, en een policy gate kan builds blokkeren die hem bevatten. Tegen nieuwe aanvallen beschermt CRACI met het default-deny-egressbeleid, dat voorkomt dat de build hosts bereikt die hij niet nodig heeft.
Nee. CRACI ondertekent geen firmware, SBOM's of herkomstgegevens. Blijf uw eigen ondertekeningsproces en sleutelopslag met hardwarebeveiliging gebruiken voor releases en updates.
De Cyber Resilience Act dekt producten met digitale elementen die in de EU op de markt worden gebracht, waaronder de meeste verbonden consumentenapparaten. De meldplichten gelden vanaf 11 september 2026 en de verordening is vanaf 11 december 2027 volledig van toepassing. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat het CRA-proces nodig heeft; aan de verordening voldoen blijft het proces van de fabrikant.
CRACI draait GitHub Actions-jobs op Linux-runners, x86-64 en ARM64, van 1 tot 32 vCPU's. Andere CI-systemen, zoals GitLab CI en Jenkins, staan op de roadmap, net als Windows- en macOS-runners.
Boek een demo, dan laten we elk component zien dat uw apparaatbuilds binnenhalen, en welke daarvan kwetsbaar zijn
Demo boeken