如何讓您的設(shè)計(jì)滿足

網(wǎng)絡(luò)安全需求

近年來，物聯(lián)網(wǎng)的發(fā)展日趨快速，消費(fèi)者與企業(yè)也采用越來越多的物聯(lián)網(wǎng)設(shè)備，但這也使得物聯(lián)網(wǎng)設(shè)備成為黑客攻擊的目標(biāo)，如何解決物聯(lián)網(wǎng)設(shè)備的安全問題，成為消費(fèi)者與企業(yè)所關(guān)注的議題。本文將為您介紹目前物聯(lián)網(wǎng)應(yīng)用所面臨的挑戰(zhàn)，以及相關(guān)的法律規(guī)范，并為您介紹艾睿電子與意法半導(dǎo)體（ST Microelectronics）的相關(guān)解決方案。

缺乏網(wǎng)絡(luò)安全所造成的物聯(lián)網(wǎng)挑戰(zhàn)

依據(jù)統(tǒng)計(jì)數(shù)據(jù)顯示，當(dāng)前物聯(lián)網(wǎng)技術(shù)所面對的挑戰(zhàn)，主要來自物聯(lián)網(wǎng)設(shè)備開發(fā)商急于開發(fā)未得到適當(dāng)保護(hù)的物聯(lián)網(wǎng)產(chǎn)品，其次則是缺乏數(shù)據(jù)分析專家，使得企業(yè)無法從物聯(lián)網(wǎng)中受益。此外，市面上有太多容易受到攻擊的物聯(lián)網(wǎng)產(chǎn)品，加上消費(fèi)者幾乎不愛去更新固件，都使得物聯(lián)網(wǎng)的安全性備受挑戰(zhàn)。

目前經(jīng)常傳出黑客利用物聯(lián)網(wǎng)漏洞暴露用戶賬戶的消息，這些用戶數(shù)據(jù)經(jīng)常淪為詐騙集團(tuán)用來欺騙消費(fèi)者錢財(cái)?shù)幕拘畔ⅲ送庖灿幸恍┪锫?lián)網(wǎng)設(shè)備被黑客侵入，泄漏用戶的隱私，通過被侵入的攝像機(jī)，使用者的生活隨意被外人瀏覽，活像生活在“楚門的世界”。

由于物聯(lián)網(wǎng)設(shè)備會(huì)傳輸和處理大量數(shù)據(jù)，這些數(shù)據(jù)可能包含敏感信息。因此，保障物聯(lián)網(wǎng)系統(tǒng)的安全性和用戶隱私成為一個(gè)關(guān)鍵挑戰(zhàn)，惡意攻擊、數(shù)據(jù)泄露和未經(jīng)授權(quán)的訪問都是需要應(yīng)對的風(fēng)險(xiǎn)。

缺乏網(wǎng)絡(luò)安全可能導(dǎo)致一系列嚴(yán)重的問題，涉及個(gè)人、組織和整個(gè)社會(huì)，其中包括數(shù)據(jù)泄露、金融損失、商業(yè)信譽(yù)損失、基礎(chǔ)設(shè)施威脅、勒索軟件、國家安全威脅等，為了應(yīng)對這些問題，組織和個(gè)人都應(yīng)該加強(qiáng)網(wǎng)絡(luò)安全措施，包括定期更新軟件、使用強(qiáng)大的密碼、實(shí)施多重身份驗(yàn)證、定期進(jìn)行安全審查和培訓(xùn)員工提高安全意識(shí)等，以避免代價(jià)高昂的數(shù)據(jù)和智慧財(cái)產(chǎn)（IP）泄露，以及造成企業(yè)的聲譽(yù)受損、上市時(shí)間變慢，甚至導(dǎo)致訴訟和罰款。此外，政府應(yīng)該推動(dòng)相應(yīng)的法規(guī)和政策，鼓勵(lì)和監(jiān)督企業(yè)和組織加強(qiáng)其網(wǎng)絡(luò)安全體系。

不同國家推出監(jiān)管措施來增強(qiáng)網(wǎng)絡(luò)安全

目前有許多網(wǎng)絡(luò)安全規(guī)范與標(biāo)準(zhǔn)，它們旨在提供組織和業(yè)界確保信息安全性的指導(dǎo)原則。不同的國家地區(qū)也各自制定相關(guān)的網(wǎng)絡(luò)安全規(guī)范，其中包括由歐盟主導(dǎo)的ETSI EN 303 645、美國主導(dǎo)的UL 2900-1標(biāo)準(zhǔn)，也有一些物聯(lián)網(wǎng)設(shè)備的認(rèn)證單位，像是CTIA與IoXt等。

其中由歐洲電信標(biāo)準(zhǔn)協(xié)會(huì)（ETSI）推出的EN 303 645，是第一個(gè)適用于全球消費(fèi)性物聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，其對消費(fèi)性物聯(lián)網(wǎng)的基準(zhǔn)要求，旨在將技術(shù)和組織措施結(jié)合起來，實(shí)現(xiàn)網(wǎng)絡(luò)安全的良好實(shí)踐，包括了13個(gè)網(wǎng)絡(luò)安全方面和數(shù)據(jù)保護(hù)方面，共33條強(qiáng)制規(guī)定和35條件建議性規(guī)定。

ETSI EN 303645在硬件方面要求安全地存儲(chǔ)敏感的安全參數(shù)、安全通信、最大限度地減少暴露的攻擊面、確保軟件完整性，在軟件／固件方面，要求不使用通用的默認(rèn)密碼、確保個(gè)人資料安全、使系統(tǒng)能夠應(yīng)對中斷、驗(yàn)證輸入數(shù)據(jù)，在公司政策方面，則要求實(shí)施一種管理漏洞報(bào)告的方法、保持軟件更新、檢查系統(tǒng)遠(yuǎn)程數(shù)據(jù)、讓用戶可以輕松地刪除用戶數(shù)據(jù)、讓安裝和維護(hù)變得簡單、清楚解釋收集了哪些個(gè)人資料以及收集的目的，以確保物聯(lián)網(wǎng)設(shè)備符合所需的安全規(guī)范。

滿足網(wǎng)絡(luò)安全法規(guī)和標(biāo)準(zhǔn)的PSA認(rèn)證

想要確保物聯(lián)網(wǎng)產(chǎn)品合規(guī)，可以進(jìn)行PSA認(rèn)證。PSA認(rèn)證是專為物聯(lián)網(wǎng)設(shè)備設(shè)計(jì)的安全認(rèn)證計(jì)劃，它是由領(lǐng)先的半導(dǎo)體和軟件設(shè)計(jì)公司Arm與其他行業(yè)合作伙伴合作發(fā)起。PSA認(rèn)證的主要目標(biāo)是建立一個(gè)全球認(rèn)可的框架，來評估和認(rèn)證物聯(lián)網(wǎng)設(shè)備的安全性。該計(jì)劃提供了一套安全指南、評估標(biāo)準(zhǔn)和測試方法，以確保物聯(lián)網(wǎng)設(shè)備滿足最低安全要求。

PSA認(rèn)證為物聯(lián)網(wǎng)設(shè)備定義了全面的安全框架，該框架涵蓋了各種安全方面，包括設(shè)備身份、安全啟動(dòng)、安全通信、固件更新和加密。它提供了一種標(biāo)準(zhǔn)化方法來解決物聯(lián)網(wǎng)設(shè)備整個(gè)生命周期中的安全挑戰(zhàn)。該計(jì)劃包括由認(rèn)可實(shí)驗(yàn)室進(jìn)行的獨(dú)立安全評估，這些評估根據(jù)PSA認(rèn)證的安全要求，評估物聯(lián)網(wǎng)設(shè)備的安全功能和實(shí)施，這些評估的獨(dú)立性，增加了經(jīng)過認(rèn)證的設(shè)備安全聲明的可信度和信心。

PSA認(rèn)證會(huì)根據(jù)物聯(lián)網(wǎng)設(shè)備的安全能力提供不同級別的認(rèn)證，認(rèn)證級別范圍從1級（基礎(chǔ)）到3級（高級），每個(gè)級別都代表安全保障級別的不斷提高。組織可以根據(jù)其特定的安全需求和物聯(lián)網(wǎng)設(shè)備的預(yù)期用途，來選擇適當(dāng)?shù)恼J(rèn)證級別。

對物聯(lián)網(wǎng)產(chǎn)品制造商來說，通過PSA認(rèn)證可使廠商的物聯(lián)網(wǎng)設(shè)備構(gòu)成系統(tǒng)信任鏈中的信任錨，由于法規(guī)還在不斷發(fā)展和強(qiáng)化，新設(shè)計(jì)必須面向未來，滿足歐洲、北美、亞太地區(qū)的要求，并可基于業(yè)界的最佳實(shí)踐來開發(fā)產(chǎn)品。

依據(jù)最近對芯片供應(yīng)商進(jìn)行的一項(xiàng)調(diào)查顯示，客戶開發(fā)安全產(chǎn)品的第一大障礙是缺乏內(nèi)部安全專業(yè)知識(shí)，由于最終客戶對此有要求，因此產(chǎn)品制造商需要建立／開發(fā)值得信賴的產(chǎn)品，并降低產(chǎn)品開發(fā)時(shí)的風(fēng)險(xiǎn)和壓力。

PSA認(rèn)證包括由認(rèn)可實(shí)驗(yàn)室進(jìn)行的獨(dú)立安全評估，這些評估根據(jù)PSA認(rèn)證的安全要求評估物聯(lián)網(wǎng)設(shè)備的安全功能和實(shí)施。通過進(jìn)行這些評估，組織可以獲得對其設(shè)備安全功能的客觀評估，從而證明其符合法規(guī)和標(biāo)準(zhǔn)。

PSA認(rèn)證符合現(xiàn)有的網(wǎng)絡(luò)安全法規(guī)和標(biāo)準(zhǔn)，例如歐盟的網(wǎng)絡(luò)安全法案和英國的消費(fèi)者物聯(lián)網(wǎng)安全實(shí)踐準(zhǔn)則。通過遵守PSA認(rèn)證制定的安全原則和要求，組織可以確保遵守這些法規(guī)并展示其對安全的承諾，并與客戶、合作伙伴和監(jiān)管機(jī)構(gòu)建立信任。它提供了一種結(jié)構(gòu)化方法來滿足物聯(lián)網(wǎng)設(shè)備特定的網(wǎng)絡(luò)安全法規(guī)和標(biāo)準(zhǔn)，使組織能夠更有效地應(yīng)對物聯(lián)網(wǎng)安全要求的復(fù)雜環(huán)境。

只要獲得PSA認(rèn)證，便代表符合業(yè)界法規(guī)，PSA認(rèn)證正在積極配合即將到來的法規(guī)和標(biāo)準(zhǔn)，包括EN 303 645、NIST 8259A、SB-327、UK DCMS、ENISA (WIP)、IEC 62443 4-2、CSA-311等，并可與UL、ioXt、SESIP、DLC、Amazon Alexa、Munich RE、Matter等組織達(dá)成協(xié)作和實(shí)現(xiàn)重用。

艾睿電子和PSA認(rèn)證協(xié)助推進(jìn)您的設(shè)計(jì)

PSA認(rèn)證框架的步驟包括分析安全需求、架構(gòu)安全設(shè)計(jì)、創(chuàng)建設(shè)計(jì)、驗(yàn)證安全設(shè)計(jì)。面向OEM的PSA認(rèn)證1級的物聯(lián)網(wǎng)安全框架，具有10個(gè)特色目標(biāo)，包括唯一識(shí)別、安全生命周期、驗(yàn)證、安全啟動(dòng)、安全更新、防回滾、隔離、相互作用、安全存儲(chǔ)、加密／可信服務(wù)，為經(jīng)過獨(dú)立實(shí)驗(yàn)室驗(yàn)證的物聯(lián)網(wǎng)安全評估提供途徑。

艾睿電子正在與PSA認(rèn)證的1級認(rèn)證應(yīng)用合作，OEM可以將其用作互聯(lián)安全設(shè)計(jì)的基礎(chǔ)。OEM可以采用參考設(shè)計(jì)，對其IP進(jìn)行分層，并通過加速認(rèn)證流程來完成完整的應(yīng)用，這使他們能夠更自信、更快速、安全地成功地將產(chǎn)品推向市場。

PSA認(rèn)證與艾睿電子將可幫助最終客戶，專為物聯(lián)網(wǎng)打造獨(dú)特的安全協(xié)作方案，包括可為整個(gè)生態(tài)系統(tǒng)釋放新的商業(yè)機(jī)會(huì)、提供內(nèi)建安全性的端對端解決方案、滿足關(guān)鍵標(biāo)準(zhǔn)和法規(guī)、降低開發(fā)安全功能的投入成本、擴(kuò)展管理供應(yīng)鏈和物流業(yè)務(wù)，并可通過第三方認(rèn)證以獲得保證。

艾睿電子推出了STM32U5安全嵌入式開發(fā)套件，其中包括支持TrustZone、WiFi 和藍(lán)牙連接，以及支持多種傳感器，結(jié)合STM推出的STM32U5微控制器，內(nèi)置超低功耗的Arm Cortex-M33內(nèi)核，這組安全開發(fā)套件有助于集成安全性，這對于物聯(lián)網(wǎng)開發(fā)人員來說是一項(xiàng)極其復(fù)雜的任務(wù)。艾睿電子的參考設(shè)計(jì)適用于安全嵌入式應(yīng)用，并已通過PSA 1級認(rèn)證，可與Amazon Web Services（AWS）和Microsoft Azure認(rèn)證等領(lǐng)先云提供商無縫協(xié)作。

另一方面，Silicon Labs推出了Secure Vault平臺(tái)，包含了一整套業(yè)界前沿的先進(jìn)安全功能，可解決不斷升級的物聯(lián)網(wǎng)威脅，并可降低物聯(lián)網(wǎng)生態(tài)系統(tǒng)安全漏洞風(fēng)險(xiǎn)，減少知識(shí)產(chǎn)權(quán)泄露風(fēng)險(xiǎn)或偽造造成的收入損失。Secure Vault技術(shù)可防止可擴(kuò)展的本地和遠(yuǎn)程軟件攻擊，并防御本地硬件攻擊。

Secure Vault的主要功能包括安全密鑰管理、防回滾保護(hù)、防篡改、帶鎖定／解鎖的安全調(diào)試、安全鏈路、RTSL安全啟動(dòng)、安全認(rèn)證、差分功率分析（DPA）對策、真隨機(jī)數(shù)發(fā)生器（TRNG）等。此外，Secure Vault在EFR32FG23B和EFR32MG21B上已獲得了PSA 3級認(rèn)證，將可加快客戶的產(chǎn)品開發(fā)流程。

結(jié)語

隨著物聯(lián)網(wǎng)應(yīng)用的普及，物聯(lián)網(wǎng)設(shè)備的安全性也備受到重視，通過PSA認(rèn)證的物聯(lián)網(wǎng)設(shè)備，也代表著該產(chǎn)品能夠符合物聯(lián)網(wǎng)安全規(guī)范的要求，將可提升該產(chǎn)品的附加價(jià)值，提高消費(fèi)者的信任度與采購意愿。艾睿電子與PSA認(rèn)證組織合作，將可協(xié)助物聯(lián)網(wǎng)設(shè)備開發(fā)商進(jìn)行產(chǎn)品的PSA認(rèn)證，并提供相關(guān)的解決方案來加快產(chǎn)品的開發(fā)速度，將是物聯(lián)網(wǎng)產(chǎn)品開發(fā)商的最佳合作伙伴。

審核編輯：黃飛