如何解決物聯網設備的安全問題

如何讓您的設計滿足

網絡安全需求

近年來，物聯網的發展日趨快速，消費者與企業也采用越來越多的物聯網設備，但這也使得物聯網設備成為黑客攻擊的目標，如何解決物聯網設備的安全問題，成為消費者與企業所關注的議題。本文將為您介紹目前物聯網應用所面臨的挑戰，以及相關的法律規范，并為您介紹艾睿電子與意法半導體（ST Microelectronics）的相關解決方案。

缺乏網絡安全所造成的物聯網挑戰

依據統計數據顯示，當前物聯網技術所面對的挑戰，主要來自物聯網設備開發商急于開發未得到適當保護的物聯網產品，其次則是缺乏數據分析專家，使得企業無法從物聯網中受益。此外，市面上有太多容易受到攻擊的物聯網產品，加上消費者幾乎不愛去更新固件，都使得物聯網的安全性備受挑戰。

目前經常傳出黑客利用物聯網漏洞暴露用戶賬戶的消息，這些用戶數據經常淪為詐騙集團用來欺騙消費者錢財的基本信息，此外也有一些物聯網設備被黑客侵入，泄漏用戶的隱私，通過被侵入的攝像機，使用者的生活隨意被外人瀏覽，活像生活在“楚門的世界”。

由于物聯網設備會傳輸和處理大量數據，這些數據可能包含敏感信息。因此，保障物聯網系統的安全性和用戶隱私成為一個關鍵挑戰，惡意攻擊、數據泄露和未經授權的訪問都是需要應對的風險。

缺乏網絡安全可能導致一系列嚴重的問題，涉及個人、組織和整個社會，其中包括數據泄露、金融損失、商業信譽損失、基礎設施威脅、勒索軟件、國家安全威脅等，為了應對這些問題，組織和個人都應該加強網絡安全措施，包括定期更新軟件、使用強大的密碼、實施多重身份驗證、定期進行安全審查和培訓員工提高安全意識等，以避免代價高昂的數據和智慧財產（IP）泄露，以及造成企業的聲譽受損、上市時間變慢，甚至導致訴訟和罰款。此外，政府應該推動相應的法規和政策，鼓勵和監督企業和組織加強其網絡安全體系。

不同國家推出監管措施來增強網絡安全

目前有許多網絡安全規范與標準，它們旨在提供組織和業界確保信息安全性的指導原則。不同的國家地區也各自制定相關的網絡安全規范，其中包括由歐盟主導的ETSI EN 303 645、美國主導的UL 2900-1標準，也有一些物聯網設備的認證單位，像是CTIA與IoXt等。

其中由歐洲電信標準協會（ETSI）推出的EN 303 645，是第一個適用于全球消費性物聯網設備的網絡安全標準，其對消費性物聯網的基準要求，旨在將技術和組織措施結合起來，實現網絡安全的良好實踐，包括了13個網絡安全方面和數據保護方面，共33條強制規定和35條件建議性規定。

ETSI EN 303645在硬件方面要求安全地存儲敏感的安全參數、安全通信、最大限度地減少暴露的攻擊面、確保軟件完整性，在軟件／固件方面，要求不使用通用的默認密碼、確保個人資料安全、使系統能夠應對中斷、驗證輸入數據，在公司政策方面，則要求實施一種管理漏洞報告的方法、保持軟件更新、檢查系統遠程數據、讓用戶可以輕松地刪除用戶數據、讓安裝和維護變得簡單、清楚解釋收集了哪些個人資料以及收集的目的，以確保物聯網設備符合所需的安全規范。

滿足網絡安全法規和標準的PSA認證

想要確保物聯網產品合規，可以進行PSA認證。PSA認證是專為物聯網設備設計的安全認證計劃，它是由領先的半導體和軟件設計公司Arm與其他行業合作伙伴合作發起。PSA認證的主要目標是建立一個全球認可的框架，來評估和認證物聯網設備的安全性。該計劃提供了一套安全指南、評估標準和測試方法，以確保物聯網設備滿足最低安全要求。

PSA認證為物聯網設備定義了全面的安全框架，該框架涵蓋了各種安全方面，包括設備身份、安全啟動、安全通信、固件更新和加密。它提供了一種標準化方法來解決物聯網設備整個生命周期中的安全挑戰。該計劃包括由認可實驗室進行的獨立安全評估，這些評估根據PSA認證的安全要求，評估物聯網設備的安全功能和實施，這些評估的獨立性，增加了經過認證的設備安全聲明的可信度和信心。

PSA認證會根據物聯網設備的安全能力提供不同級別的認證，認證級別范圍從1級（基礎）到3級（高級），每個級別都代表安全保障級別的不斷提高。組織可以根據其特定的安全需求和物聯網設備的預期用途，來選擇適當的認證級別。

對物聯網產品制造商來說，通過PSA認證可使廠商的物聯網設備構成系統信任鏈中的信任錨，由于法規還在不斷發展和強化，新設計必須面向未來，滿足歐洲、北美、亞太地區的要求，并可基于業界的最佳實踐來開發產品。

依據最近對芯片供應商進行的一項調查顯示，客戶開發安全產品的第一大障礙是缺乏內部安全專業知識，由于最終客戶對此有要求，因此產品制造商需要建立／開發值得信賴的產品，并降低產品開發時的風險和壓力。

PSA認證包括由認可實驗室進行的獨立安全評估，這些評估根據PSA認證的安全要求評估物聯網設備的安全功能和實施。通過進行這些評估，組織可以獲得對其設備安全功能的客觀評估，從而證明其符合法規和標準。

PSA認證符合現有的網絡安全法規和標準，例如歐盟的網絡安全法案和英國的消費者物聯網安全實踐準則。通過遵守PSA認證制定的安全原則和要求，組織可以確保遵守這些法規并展示其對安全的承諾，并與客戶、合作伙伴和監管機構建立信任。它提供了一種結構化方法來滿足物聯網設備特定的網絡安全法規和標準，使組織能夠更有效地應對物聯網安全要求的復雜環境。

只要獲得PSA認證，便代表符合業界法規，PSA認證正在積極配合即將到來的法規和標準，包括EN 303 645、NIST 8259A、SB-327、UK DCMS、ENISA (WIP)、IEC 62443 4-2、CSA-311等，并可與UL、ioXt、SESIP、DLC、Amazon Alexa、Munich RE、Matter等組織達成協作和實現重用。

艾睿電子和PSA認證協助推進您的設計

PSA認證框架的步驟包括分析安全需求、架構安全設計、創建設計、驗證安全設計。面向OEM的PSA認證1級的物聯網安全框架，具有10個特色目標，包括唯一識別、安全生命周期、驗證、安全啟動、安全更新、防回滾、隔離、相互作用、安全存儲、加密／可信服務，為經過獨立實驗室驗證的物聯網安全評估提供途徑。

艾睿電子正在與PSA認證的1級認證應用合作，OEM可以將其用作互聯安全設計的基礎。OEM可以采用參考設計，對其IP進行分層，并通過加速認證流程來完成完整的應用，這使他們能夠更自信、更快速、安全地成功地將產品推向市場。

PSA認證與艾睿電子將可幫助最終客戶，專為物聯網打造獨特的安全協作方案，包括可為整個生態系統釋放新的商業機會、提供內建安全性的端對端解決方案、滿足關鍵標準和法規、降低開發安全功能的投入成本、擴展管理供應鏈和物流業務，并可通過第三方認證以獲得保證。

艾睿電子推出了STM32U5安全嵌入式開發套件，其中包括支持TrustZone、WiFi 和藍牙連接，以及支持多種傳感器，結合STM推出的STM32U5微控制器，內置超低功耗的Arm Cortex-M33內核，這組安全開發套件有助于集成安全性，這對于物聯網開發人員來說是一項極其復雜的任務。艾睿電子的參考設計適用于安全嵌入式應用，并已通過PSA 1級認證，可與Amazon Web Services（AWS）和Microsoft Azure認證等領先云提供商無縫協作。

另一方面，Silicon Labs推出了Secure Vault平臺，包含了一整套業界前沿的先進安全功能，可解決不斷升級的物聯網威脅，并可降低物聯網生態系統安全漏洞風險，減少知識產權泄露風險或偽造造成的收入損失。Secure Vault技術可防止可擴展的本地和遠程軟件攻擊，并防御本地硬件攻擊。

Secure Vault的主要功能包括安全密鑰管理、防回滾保護、防篡改、帶鎖定／解鎖的安全調試、安全鏈路、RTSL安全啟動、安全認證、差分功率分析（DPA）對策、真隨機數發生器（TRNG）等。此外，Secure Vault在EFR32FG23B和EFR32MG21B上已獲得了PSA 3級認證，將可加快客戶的產品開發流程。

結語

隨著物聯網應用的普及，物聯網設備的安全性也備受到重視，通過PSA認證的物聯網設備，也代表著該產品能夠符合物聯網安全規范的要求，將可提升該產品的附加價值，提高消費者的信任度與采購意愿。艾睿電子與PSA認證組織合作，將可協助物聯網設備開發商進行產品的PSA認證，并提供相關的解決方案來加快產品的開發速度，將是物聯網產品開發商的最佳合作伙伴。

審核編輯：黃飛