CRACI vs Finite State

Det korta svaret

Finite State är en plattform för produktsäkerhet för uppkopplade enheter. Den analyserar firmware, binärer, källkod och leverantörers SBOM:er, prioriterar sårbarheter efter reachability och gör om resultaten till bevis för regelverk som CRA. CRACI är en GitHub Actions-runner som registrerar vad varje bygge drar in medan det körs, tar fram SBOM:en från den registreringen och styr vart bygget kan ansluta. Finite State analyserar det du levererar, var det än kommer ifrån; CRACI registrerar vad ditt eget bygge gjorde. De kompletterar till stor del varandra.

I korthet

Vad Finite State gör bra

Täckning av binärer och firmware. Finite State tar fram SBOM:er och en programvaruinventering över firmware, binärer och källkod, "with support for 50+ binary instruction set architectures." För en enhet som kör kod från många leverantörer på ovanliga kretsar är den bredden själva poängen.

En samlad bild över leverantörerna. Det samlar firmware, binärer, källkod, leverantörers SBOM:er och tredjepartsfynd i en plattform, vilket hjälper när du behöver stämma av vad en leverantör säger mot vad som faktiskt finns i produkten.

Mindre brus. Finite State rangordnar fynd efter reachability, exploateringsdata och produktkontext. Det rapporterar att 40,5 % av de fynd det har analyserat för reachability sedan 2024 bekräftades som onåbara. Det registrerar VEX-beslut med produktpåverkan och exploaterbarhetsstatus.

Efterlevnadsbevis. Dess efterlevnadsflöde täcker koppling till EU:s CRA-kontroller och underhåll av bevis, och tar fram revisionsklara rapporter med SBOM- och VEX-artefakter. Det tar också upp ramverk som FDA:s vägledning, UN R155 och IEC 62443.

CI-integrationer. Finite State bäddar in kontroller i GitHub Actions, GitLab CI och Jenkins. Dess Binary Scan-action laddar upp en binär som byggts under CI till Finite State-plattformen för en snabb eller fullständig skanning.

Där CRACI skiljer sig

Finite State utgår från artefakter: den färdiga binären, källkodsträdet, SBOM:en som en leverantör skickade. CRACI utgår från själva bygget, eftersom bygget körs på CRACI.

Observerat, inte härlett

Du ändrar runs-on till craci och jobbet körs i en isolerad virtuell maskin på en CRACI-runner. En paketmedveten proxy registrerar vad jobbet laddar ner från paketkällor, och paket som återställs från CI-cachar följer med. Varje SBOM anger hur komplett den är, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Firmwareteam kan köra Yocto på runners med upp till 32 vCPU och 96 GB RAM. Källor som BitBake hämtar från Yoctos källspegel registreras i CRACI:s jobb-SBOM.

Kontroll under bygget

En skanning av resultatet kan inte ändra vad bygget kunde nå. Det kan CRACI:s egress-policy: den nekar eller tillåter som standard, valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er när nya säkerhetsmeddelanden dyker upp.

CRACI analyserar inte binärer och gör ingen reachability-analys. Dess registrering av byggen täcker byggen som körs på det, och du kan lägga till SBOM:er som dina leverantörer tillhandahåller. För leverantörsfirmware du får som en binär utan SBOM täcker Finite State det som CRACI inte täcker.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

När du ska använda vilket, och när du ska använda båda

• Det mesta av din firmware kommer från leverantörer. Finite State. Binäranalys och intag av leverantörers SBOM:er är byggda för det.
• Du bygger dina egna avbilder och appar i GitHub Actions. CRACI registrerar varje bygge. Ladda upp samma artefakt till Finite State så har du registreringen av bygget och binäranalysen sida vid sida.
• Du behöver ett huvudsystem för många produkter och leverantörer. Finite State. CRACI:s SBOM:er exporteras som CycloneDX eller SPDX, format som Finite State tar emot via sin uppladdnings-action.
• Du vill begränsa vad byggen kan ladda ner. CRACI. Den kontrollen finns bara där bygget körs.

För CRA

Cyber Resilience Act kräver att tillverkare identifierar och dokumenterar komponenterna i sina produkter, bland annat med en SBOM, hanterar sårbarheter under supportperioden och, från september 2026, rapporterar aktivt utnyttjade sårbarheter. Finite State hjälper till att samla de bevisen för en produkt och dess leverantörer, med koppling till CRA-kontroller och rapporter. CRACI hjälper genom att ta fram bevis per bygge om vad som ingick i programvaran du bygger, med proveniens, löpande bevakning och SBOM-export som CycloneDX eller SPDX. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som tillverkare behöver för sitt bredare arbete med CRA-efterlevnad; det gör inte en produkt regelefterlevande på egen hand. Läs vad CRA kräver.

Lägg till CRACI bredvid Finite State

Inget behöver flyttas från Finite State. Peka ditt byggjobb mot runs-on: craci, behåll uppladdningssteget till Finite State, så körs samma arbetsflöde på en CRACI-runner medan CRACI registrerar det. För Yocto visar exemplet i CRACI:s dokumentation ett komplett BitBake-arbetsflöde. CRACI har i dag stöd för enbart GitHub Actions, så pipelines i GitLab CI eller Jenkins skulle behöva flyttas för att använda CRACI-runners. GitLab CI och Jenkins finns på roadmapen. Se hur CRACI fungerar för industriell IoT och hemelektronik.

Väljer du mellan fler än två verktyg? Alternativ till Finite State jämför nio alternativ sida vid sida.