ONEKEY 韌體分析替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依據每個選項自己的文件來描述它們，並會說明何時其他工具更適合。

團隊為何在 ONEKEY 之外尋找選擇

ONEKEY 是為聯網裝置打造的產品資安與法規遵循平台。它分析編譯後的韌體，「不需要原始碼或網路存取」，從二進位檔產生 SBOM、匯入供應商 SBOM，並匯出 CycloneDX 與 SPDX。其零時差漏洞分析會尋找命令注入與寫死憑證等問題，韌體監控每天重新分析映像檔，而 Compliance Wizard 涵蓋 CRA、IEC 62443、ETSI EN 303 645 與無線電設備指令（Radio Equipment Directive）。ONEKEY 可與 GitHub、GitLab、Jenkins 與 Bitbucket 整合，並維護開源解包工具組 unblob。

團隊仍會比較替代方案，通常出於以下其中一個原因：

• 大部分韌體是自家的。分析映像檔是從產出物反推。自行建置映像檔的團隊，可以直接記錄放進去的內容。
• 不同的範圍。有些團隊希望在單一產品紀錄中整合原始碼、二進位檔與供應商發現結果，依可達性排定優先順序，或在裝置上執行防護。
• 惡意軟體與竄改。檢查版本是否被注入程式碼，與將元件比對漏洞資料是不同的工作。
• 價格與託管方式。ONEKEY 未公開價格，而有些團隊想要可以自行執行的免費工具。

評估重點

• 您主要分析的是取得的韌體，還是自行建置的韌體。
• SBOM 如何產生，以及工具是否會在 SBOM 不完整時告訴您。
• 已知 CVE 以外的發現：零時差漏洞、機密、惡意軟體與竄改。
• 優先順序排定：可達性、漏洞利用情資與 VEX。
• Cyber Resilience Act（CRA）所需的佐證資料：哪些版本含有受影響的元件，以及您多快能得知。
• CI 涵蓋範圍、託管選項，以及價格如何隨規模變化。

選項

1. CRACI（我們的產品）

CRACI 是在建置執行時產生 SBOM 的 GitHub Actions 執行器，適合自行建置韌體與軟體的團隊。能辨識套件的代理伺服器會記錄每個作業從套件與原始碼主機擷取的內容，包括從 CI 快取還原的套件，每份 SBOM 也會依作業與快取標示其完整性。Yocto 建置可在最高 32 vCPU、96 GB RAM 的執行器上執行：在 core-image-sato 的並排建置比較中，CRACI 的 SBOM 涵蓋 Yocto 自身 SBOM 中的每個元件，另外多出 88 個 Yocto 遺漏的元件（例如主機套件與 GitHub Actions），並為 Yocto 列出卻缺少套件 URL 的全部 653 個 Rust crate 版本各提供一個套件 URL。

CRACI 會持續重新評估受監控的 SBOM，支援 VEX，並讓資安團隊對發現結果進行分級研判，再逐一轉交給負責修正的團隊。您可以加入廠商 SBOM，讓外購元件與您自己的建置一併受到監控。由於作業由 CRACI 執行，它也會強制執行失效即封鎖（fail closed）的對外連線政策。

最適合：在 GitHub Actions 上建置自家映像檔，並希望建置、SBOM 與漏洞追蹤集中在一處的裝置製造商。可考慮的情況：您可以不需要二進位檔分析、零時差漏洞分析與法規遵循精靈，這些 CRACI 都沒有；它也無法看見非您建置之韌體的內部。目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。 CRACI 與 ONEKEY 比較

2. Finite State

Finite State 分析韌體、二進位檔、原始碼與供應商 SBOM，「支援 50 多種二進位指令集架構」，並將它們整合到單一產品紀錄中。它依可達性、漏洞利用情資與產品脈絡排序發現結果，記錄 VEX 決策，其法規遵循工作流程涵蓋 CRA 控制項對應，以及附 SBOM 與 VEX 檔案、可供稽核的報告。它可將檢查嵌入 GitHub Actions、GitLab CI 與 Jenkins。

最適合：需要分析多家供應商韌體、並希望減少不可達發現結果雜訊的聯網裝置製造商。可考慮的情況：您想要一個橫跨原始碼、二進位檔與供應商 SBOM 的平台，而不是以映像檔為主的工具。 CRACI 與 Finite State 比較

3. Black Duck Binary Analysis

Black Duck Binary Analysis 無需原始碼即可識別執行檔、函式庫、容器、韌體與行動應用程式中的開源元件，使用靜態分析與字串分析搭配模糊比對，因此也能找出經過修改的元件。它會回報漏洞、授權問題，以及權杖與密碼等外洩的機密。它與 Black Duck SCA 和 Coverity SAST 搭配使用。

最適合：已使用 Black Duck 處理原始碼，並希望二進位檔也取得相同元件資料的組織。可考慮的情況：您能接受報價制的定價；截至 2026 年 9 月沒有公開價格。CRACI 與 Black Duck 比較

4. NetRise

NetRise Turbine 執行「韌體／二進位檔分析，以建立準確的 SBOM，並揭露實際在您裝置上執行之軟體中的風險」，並依可達性與可利用性排定漏洞優先順序。NetRise Provenance 則檢視開源元件的來源、維護者與儲存庫健全度。Dragos 於 2026 年 9 月 21 日收購 NetRise，並將其定位於營運技術（OT）裝置群。

最適合：需要知道裝置上執行什麼的產品資安、第三方風險與事件應變團隊，尤其是工業與關鍵基礎設施領域。可考慮的情況：您能接受報價制採購；NetRise 未公開價格，且自 2026 年 9 月起已成為 Dragos 的一部分。

5. Exein

Exein 同時在裝置與韌體上運作。Exein Runtime 使用 eBPF 監控並封鎖嵌入式 Linux 上的惡意行為，開源的 meta-exein Yocto 層則會將其 Pulsar 代理程式放入您的映像檔。Exein Analyzer 會在發布前檢查韌體，或在無法取得二進位檔時檢查您的 SBOM，以可達性評分與 LLM 驅動的篩選排序發現結果，並將其對應到 CRA 要求。

最適合：除了韌體分析，也希望在現場提供防護的嵌入式 Linux 製造商。 可考慮的情況：您能接受在裝置上部署代理程式。 CRACI 與 Exein 比較

6. ReversingLabs Spectra Assure

Spectra Assure 無需原始碼即可分析編譯後的軟體套件，檢查惡意軟體、竄改、外洩的機密與漏洞，並依據分析結果產生 CycloneDX 與 SPDX SBOM。差異分析會比較各版本，標記版本之間的可疑變更。rl-secure CLI 可在地端與 CI 中執行。

最適合：在您出貨的套件上，或在部署商業軟體之前，設置針對惡意軟體與竄改的發布關卡。可考慮的情況：您的主要目標是裝置韌體而非軟體套件。Community 免費，Community+ 每月 $500（截至 2026 年 9 月）。 CRACI 與 ReversingLabs 比較

7. RunSafe Security

RunSafe Identify「在軟體建置時為嵌入式系統產生詳細的 SBOM，無需進行二進位檔分析」，著重於 C 與 C++，並輸出 CycloneDX。RunSafe 列出支援 Yocto、QNX、Linux、VxWorks 與 Windows 建置。RunSafe Protect 無需修改原始碼即可加入針對記憶體漏洞利用的執行階段程式碼防護，Monitor 則追蹤現場發生的當機。

最適合：擁有大型 C 與 C++ 程式碼庫、需要記憶體安全防護的汽車、航太、國防與工業團隊。可考慮的情況：您需要 C 與 C++ 以外的涵蓋範圍，或需要控制建置能連線到哪裡。價格採報價制。

8. Manifest

Manifest 為您的產品、廠商軟體與 AI 模型建立、匯入、充實並分享 SBOM。廠商透過入口網站上傳，當廠商無法提供 SBOM 時，Manifest 可從編譯後的二進位檔產生。它支援 SPDX、CycloneDX 與 VEX，並將發現結果轉為工單與風險報告。

最適合：主要曝險來自外購軟體與韌體的組織。 可考慮的情況：您需要零時差漏洞檢查等深入的韌體分析；Manifest 的重點在於管理 SBOM 與供應商風險。CRACI 與 Manifest 比較

9. EMBA（開源）

EMBA 是 GPLv3 授權的韌體分析工具，「設計為滲透測試人員、產品資安團隊、開發者與負責任的產品經理所使用的核心韌體分析與 SBOM 工具」。它會解開韌體、執行靜態分析與透過模擬進行的動態分析、產生 SBOM，並回報不安全的二進位檔、過時元件與寫死的密碼等弱點。EMBArk 則提供網頁介面。

最適合：想要無需授權費即可進行韌體分析的資安團隊與滲透測試人員。 可考慮的情況：您能在 Linux 上自行執行並維護它；它沒有廠商支援、代管監控或法規遵循指引。

並排比較

「Black Duck BDBA」指 Black Duck Binary Analysis，「NetRise」指 NetRise Turbine，「ReversingLabs」指 Spectra Assure，「RunSafe」指 Identify 加上 Protect。Manifest 已於上文說明，未列入表格。「未公開」表示廠商文件中未描述該功能，而不是該功能不存在。

針對 Cyber Resilience Act

ONEKEY、Finite State 與 Exein 都會將其發現結果對應到 CRA。CRA 的通報義務自 2026 年 9 月 11 日起已經適用，主要條款則自 2027 年 12 月 11 日起適用。24 小時早期預警取決於能否快速得知哪些版本含有受影響的元件。對於您自行建置的韌體，CRACI 會保存建置歷史與每次建置的 SBOM，讓您看出哪些建置含有有漏洞的相依套件。其 API 會回傳 SBOM、網路追蹤紀錄與來源證明，SBOM 可匯出為 CycloneDX 或 SPDX，CRACI 也會準備 CRA 通報內容，供您透過 Single Reporting Platform 提交。

本頁沒有任何工具能單獨讓製造商符合法規。請參閱CRA 的要求與CRA 法規遵循工具比較。

何時繼續使用 ONEKEY

• 您整合來自晶片廠商、模組供應商與外包商的韌體，而您從未見過他們的建置過程。
• 您希望在映像檔中找出已知 CVE 以外的問題，例如命令注入與寫死的憑證。
• 您依賴針對 IEC 62443-4-2、ETSI EN 303 645 或無線電設備指令的引導式檢查。
• 您希望每個韌體映像檔在發布後每天重新分析。

更多資訊請參閱在 CRACI 上建置 Yocto、 嵌入式資安工具比較與 Finite State 替代方案。

ONEKEY 替代方案常見問題

團隊比較時常問問題的簡短解答

ONEKEY 最好的替代方案是什麼？

取決於您用 ONEKEY 做什麼。若要在單一產品紀錄中整合多家供應商的韌體並具備可達性分析，可以看看 Finite State。若要在原始碼 SCA 之外進行二進位檔分析，可以看看 Black Duck Binary Analysis。若還需要裝置端的執行階段防護，可以看看 Exein 或 RunSafe。若要檢查惡意軟體與竄改，可以看看 ReversingLabs Spectra Assure。若要免費工具，可以看看 EMBA。如果您在 GitHub Actions 中建置自己的韌體，CRACI 會從每次建置記錄 SBOM，並監控其中的漏洞。

CRACI 能像 ONEKEY 一樣分析韌體映像檔嗎？

不能。CRACI 不分析二進位檔或韌體映像檔，也不搜尋零時差漏洞。它記錄您自己的建置在 CRACI 的 GitHub Actions 執行器上執行時所擷取的內容（包括 Yocto 建置），並從這份紀錄產生 SBOM。對於以二進位檔形式取得的韌體，您可以將廠商的 SBOM 加入 CRACI 以監控其元件，但若沒有 SBOM，就需要二進位檔分析工具。

ONEKEY 有免費的替代方案嗎？

EMBA 是免費的 GPLv3 韌體分析工具。它會解開韌體、執行靜態分析與透過模擬進行的動態分析、產生 SBOM，並回報過時元件與寫死的密碼等弱點。您需要在 Linux 上自行執行它，EMBArk 則提供網頁介面。它沒有像 ONEKEY Compliance Wizard 那樣的引導式法規遵循檢查。

建置時 SBOM 比二進位檔分析產生的 SBOM 更好嗎？

對於您自行建置的韌體，建置時 SBOM 記錄的是實際放進去的內容，而不是從映像檔推測，對於 Rust 與 C 這類編譯程式碼，推測相當困難。對於非您建置的韌體，二進位檔分析仍是唯一選擇。在 core-image-sato 的並排建置比較中，CRACI 的 SBOM 涵蓋 Yocto 自身 SBOM 中的每個元件，另外多出 88 個 Yocto 遺漏的元件，並為 Yocto 列出卻缺少套件 URL 的全部 653 個 Rust crate 版本各提供一個套件 URL。

CRACI 有像 ONEKEY 那樣的法規遵循精靈嗎？

沒有。CRACI 沒有依 IEC 62443、ETSI EN 303 645 或其他標準進行的引導式檢查。它提供來自建置的佐證資料：CycloneDX 或 SPDX 格式的 SBOM、漏洞紀錄，以及透過 API 取得的來源證明資料，並準備 CRA 通報內容供您提交。法規遵循流程仍屬於製造商。