CRACI vs. ONEKEY

Det korte svaret

ONEKEY er en plattform for produktsikkerhet og samsvar for tilkoblede enheter. Du laster opp et firmware-image, og plattformen analyserer binærfilen for å finne komponenter, kjente sårbarheter, sannsynlige zero-days og hull i samsvaret, uten at kildekode trengs. CRACI er en GitHub Actions-runner som registrerer hva hvert bygg henter inn mens det kjører, og produserer SBOM-en fra den registreringen. ONEKEY analyserer resultatet; CRACI tar vare på dokumentasjon fra bygget. De utfyller hverandre godt, og ingen av dem erstatter den andre.

Oversikt

Hva ONEKEY gjør bra

Binæranalyse uten kildekode. ONEKEY analyserer kompilert firmware direkte. Nettstedet sier det rett ut: "No source code or network access needed." Det betyr noe når mye av det som leveres på en enhet, kommer fra brikkeleverandører, modulleverandører og underleverandører, og du aldri ser bygget deres.

Funn utover kjente CVE-er. I tillegg til å matche komponenter mot sårbarhetsdata kjører ONEKEY automatisert zero-day-analyse som ser etter problemer som command injection, usikker kommunikasjon og hardkodet påloggingsinformasjon i binærfilen.

SBOM-er fra imaget. ONEKEY genererer en SBOM fra binærfilen, lar deg importere SBOM-er fra kildekodeskannere eller leverandører og eksporterer CycloneDX og SPDX.

Veiledning om samsvar. ONEKEY Compliance Wizard tar team gjennom kravene i Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive, og eksporterer resultater for tredjepartssertifisering.

Overvåking og CI. Firmware-overvåkingen analyserer opplastet firmware på nytt daglig etter hvert som nye sårbarheter dukker opp. ONEKEY-dokumentasjonen viser hvordan du laster opp hvert nye bygg fra GitHub, GitLab eller Jenkins og lar pipelinen feile når nye funn dukker opp. ONEKEY vedlikeholder også unblob, en samling verktøy med åpen kildekode for utpakking av binærblober.

Der CRACI skiller seg ut

En binærskanning jobber seg bakover fra det ferdige imaget. CRACI jobber fremover fra bygget, fordi det er maskinen bygget kjører på.

Bygget er sannhetskilden

Firmware-workflowen din kjører på CRACI-runnere med en endring på én linje i runs-on. Mens en jobb kjører, registrerer en pakkebevisst proxy hva den laster ned fra pakkekilder, og pakker gjenopprettet fra CI-cacher blir ført videre. Hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. For Yocto kjører CRACI BitBake på runnere med opptil 32 vCPU og 96 GB RAM. I et sammenlignende bygg av core-image-sato inneholdt SBOM-en fra CRACI alle komponentene i Yoctos egne SPDX-utdata, 88 til, blant annet vertspakker og GitHub Actions, og en pakke-URL for hver av de 653 Rust-crate-versjonene Yocto lister opp uten en slik. Kilder BitBake henter fra Yoctos kildespeil, registreres i CRACIs jobb-SBOM.

Kontroll over hva bygget kan nå

En egress-policy på runneren avgjør hvilke verter en jobb kan koble seg til. Den valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved et brudd. For Yocto legger den til et ekstra lag i tillegg til BitBakes egen BB_ALLOWED_NETWORKS.

Provenance og hva som ble levert

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Det samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt etter hvert som advisories dukker opp.

Det CRACI ikke gjør, er like viktig her. Det analyserer ikke binærfiler, så det kan ikke fortelle deg hva som er inni en leverandørs binærblob som bygget ditt laster ned, bare at bygget hentet den og hvor fra.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Hva du bør bruke når, og når du bør bruke begge

• Du integrerer firmware du ikke bygger selv. ONEKEY. Binæranalyse er måten å se inn i den på.
• Du bygger ditt eget Linux-image i GitHub Actions. CRACI kjører bygget og registrerer det som går inn i det. Med ONEKEY i tillegg får du et ekstra, uavhengig bilde av det ferdige imaget.
• En revisor spør hvordan du vet at SBOM-en stemmer med produktet. Registreringen fra runneren i CRACI svarer på "hva gikk inn i dette bygget"; analysen fra ONEKEY svarer på "hva er i dette imaget". Sammen kontrollerer de hverandre.
• Du trenger veiledede sjekker mot IEC 62443 eller ETSI EN 303 645. ONEKEY har det innebygd. CRACI eksporterer SBOM-er som CycloneDX eller SPDX, og API-et returnerer nettverksspor og provenance, til din bredere prosess.

For CRA

Cyber Resilience Act ber produsenter identifisere og dokumentere komponentene i produktene sine, inkludert en SBOM, og håndtere sårbarheter så lenge produktet støttes. Rapportering av aktivt utnyttede sårbarheter gjelder fra september 2026. ONEKEY hjelper ved å analysere firmwaren du bringer på markedet, og veilede deg gjennom kravene. CRACI hjelper ved å produsere dokumentasjon per bygg på hva som gikk inn i den firmwaren, med provenance og løpende overvåking. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som produsenter trenger for sin bredere CRA-samsvarsprosess; det gjør ikke et produkt samsvarende på egen hånd. Les hva CRA krever.

Slik legger du til CRACI ved siden av ONEKEY

Behold opplastingssteget til ONEKEY. Flytt firmware-jobben til en CRACI-runner ved å sette runs-on: craci, så fortsetter samme workflow å kjøre i GitHub Actions mens CRACI registrerer bygget. Opplastingen til ONEKEY skjer da fra et bygg du har dokumentasjon for. Yocto-eksempelet i CRACI-dokumentasjonen viser en komplett BitBake-workflow. CRACI støtter bare GitHub Actions i dag, så GitLab- eller Jenkins-pipelines må flyttes for å bruke CRACI-runnere. GitLab CI og Jenkins står på veikartet. Se hvordan CRACI fungerer for industriell IoT og forbrukerelektronikk.

Vurderer du mer enn to verktøy? ONEKEY-alternativer sammenligner ni alternativer side om side.