هجوم سلسلة توريد قلم القراءة وSBOM: كيف يبني مصنعو OEM الثقة عبر قائمة مكونات البرامج

الجمهور المستهدف

هذا المقال موجّه إلى مديري المشتريات، ومدرّي تقنية المعلومات في المناطق التعليمية، ومهندسي الأمن السيبراني الذين يقيمون شركاء تصنيع قلم القراءة OEM ضمن أطر مشتريات ENISA وNIS2 أو مشتريات K12 الأمريكية. يوضح كيف يبني مصنع ODM صيني شفافية سلسلة توريد يمكن التحقق منها لجهاز صوتي مخصص للأطفال باستخدام SBOM، وأصل البرامج الثابتة، وتثبيت التبعيات، وسلاسل القطع الفنية الموقّعة. ويفترض المقال معرفة أساسية بتسليم البرامج الثابتة دون الحاجة إلى خلفية متخصصة في الأمن السيبراني. وتشمل المراجع الداخلية إجراءات إغلاق JTAG، ومقاومة القنوات الجانبية، ومعالجة ثغرات CVE، وخرائط شهادات الاعتماد، وخصوصية بيانات الطلاب.

يحتوي قلم القراءة الذي تنتجه خطوط تصنيع ODM لدينا في شنجن بين 14,000 و21,000 مكوّن برمجي فردي عند احتساب كل مكتبة متعدّية، وبرامج تشغيل MCU HAL، ووحدات حزمة Bluetooth، وكتل برامج Wi-Fi الثابتة، ومحرك OCR، ونموذج صوت TTS، ومحمل الإقلاع. ويمكن لأي حزمة مخترقة واحدة في أي مكان من رسم الاعتماديات أن تدفع برنامجاً ثابتاً موقّعاً إلى جهاز ينتهي به الأمر في يد طفل عمره 7 سنوات. وقد أثبتت حادثتا Kaseya في 2021 وxz-utils في 2024 أن حتى مشرفي المصادر المفتوحة الناضجين يشحنون أبواباً خلفية. وبالنسبة لجهاز صوتي للأطفال من الفئة 3، فإن الدفاع الوحيد هو إمكانية التحقق من الأصل — والأصل يبدأ بـ SBOM حقيقية.

يستعرض هذا المقال كيف يُنتج برنامج OEM لدينا ويوقّع وينشر ويراجع قوائم SBOM لمنصات أقلام القراءة B1 وB2 وF8 وK7 وKF1 وL5 وP2 وQ6 وQ8 وT2 وY6، وكيف يمكن للمشتري التحقق من أن ما نشحنه هو ما بنيناه.

ما هي قائمة مواد البرامج — ولماذا تهم لقلم القراءة؟

SBOM هي جرد قابل للقراءة آلياً لكل مكوّن برمجي في قطعة فنية مشحونة. وبالنسبة لقلم القراءة، فإن القطعة هي صورة البرنامج الثابت التي يبرمجها خط الإنتاج على ذاكرة SPI NOR بسعة 32 MB أو 64 MB. وثمة تنسيقان رئيسيان:

• [إصلاح: مطابق-للمصدر، نسبة-النص] SPDX 2.3 (ISO/IEC 5962:2024) — المعيار المعتمد من ISO مع دعم أوسع لأدوات المؤسسات.
• [إصلاح: مطابق-للمصدر، نسبة-النص] CycloneDX 1.5 — تُديرها OWASP، وهي أخف، وتدعم صراحةً قائمة مواد الأجهزة (HBOM) وتبادل قابلية استغلال الثغرات (VEX).

كل قلم قراءة نشحنه يحمل كلا التنسيقين داخل حزمة التحديث الآمن. وتوجد SBOM إلى جانب صورة البرنامج الثابت، وتوقيع ECDSA-P256 منفصل، وبيان الأجهزة. وهذه الحزمة هي ما يصل إلى رصيف استلام المشتري.

يُلزم الأمر التنفيذي الأمريكي 14028 (مايو 2021) وقانون الاتحاد الأوروبي للمرونة السيبرانية (الذي يدخل حيز التنفيذ عام 2027) بتقديم SBOM لأي جهاز متصل بالشبكة يُباع للمستهلكين الاتحاديين أو الفيدراليين. وتُعدّ أقلام القراءة أجهزة متصلة بالشبكة عند شحنها مزوّدة بوحدات Wi-Fi أو 4G في منصات Q6 وQ8 وY6. كما تشير مشتريات المدارس في إطار إرشادات MTSS بولاية كاليفورنيا، وقائمة CPL لإدارة التعليم بولاية نيويورك، وTexas DIR-CPO-5417 بشكل متزايد إلى خط الأساس SBOM للعناصر الدنيا الصادر عن NTIA.

تشريح شجرة اعتماديات البرنامج الثابت لقلم القراءة

يستمد بناء الإنتاج النموذجي لـ K7 أو F8 برمجياته من سبع طبقات توريد:

من حق المشتري أن يسأل: أيٌّ من هذه المكونات التي يتراوح عددها بين 14,000 و21,000 يستطيع المصنّع الأصلي (OEM) فعليًا أن يضمنه؟ إجابتنا صريحة — كل فئة من هذه الفئات لها مستوى إثبات مختلف.

الفئات الخمس للإثبات المستخدمة في قائمة مكونات البرامج لدينا (SBOM)

نُصنِّف كل عنصر في قائمة مكونات البرامج (SBOM) بإحدى فئات الإثبات ليعرف المشتري بالتحديد مستوى المراجعة المطبَّق:

1. E1 — مُعتمَد من المصدر: اطّلعنا على سطور المصدر سطرًا سطرًا، وبنيناه من تجزئة (commit hash) محدّدة، وتحققنا من توقيع GPG الخاص بالمطوِّر. يغطي نحو 62% من المكونات في صورة Linux نموذجية بحجم 18 ميجابايت (مُحمِّل الإقلاع، والنواة، والمكتبات الأساسية، وكودنا الخاص).
2. E2 — مُعتمَد من التوزيعة: نثق في التوزيعة الأولية (Debian، Buildroot LTS) بأنها أجرت عملية التحقق. يغطي ذلك نحو 28% (Qt، ALSA، OpenSSL 3.0.x).
3. E3 — مصادق عليه من المورِّد: نثق في الكتلة الثنائية الخاصة بجهة تصنيع السيليكون ونراجع فقط سطح واجهة البرمجة (البرنامج الثابت لشبكة Wi-Fi، البرنامج الثابت لـ Bluetooth HCI). يغطي ذلك نحو 7%.
4. E4 — مصادق عليه بموجب اتفاقية عدم إفصاح: حزمة تطوير برمجيات مغلقة من طرف ثالث، يحتفظ المصنِّع في شنتشن بحقوق الوصول إلى مصدرها، ويراجعها مختبر مستقل سنوياً. يغطي ذلك نحو 3%.
5. E5 — مخاطر موروثة: مكونات لا يمكننا فحصها مباشرةً (كتل المعايرة، وأوزان النموذج الصوتي TTS المشفَّرة تحت وحدة أمان تابعة للمورِّد). يَطَّلع المشتري عليها بالاسم فقط.

إجمالي تغطية E1+E2 في البرنامج الثابت لـ K7 يبلغ 90% من المكونات و96% من سطح الهجوم (عدد أسطر الكود). أما نسبة 10% المتبقية فموثَّقة في ملحق «المخاطر المتبقية» يُرفق بكل قائمة SBOM.

بنية SBOM وفق CycloneDX 1.5 لقلم القراءة

فيما يلي مقطع تمثيلي لـ SBOM لجهاز K7 (قلم القراءة الأكثر نشراً من قِبَل المصنِّع الصيني في الكتالوج لدينا). يوضح البنية التي سيُحلِّلها مسؤول أمن المعلومات في منطقة تعليمية أو مُقيِّم GSA.

[إصلاح: مطابق-للمصدر، نسبة-النص]
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "serialNumber": "urn:uuid:6ba7b810-9dad-11d1-80b4-00c04fd430c8",
  "version": 7,
  "metadata": {
    "timestamp": "2026-08-15T10:30:00Z",
    "tools": [{"vendor": "OWASP", "name": "CycloneDX-Maven-Plugin", "version": "2.7.10"}],
    "component": {
      "type": "firmware",
      "bom-ref": "pkg:smartreadingpen/[email protected]",
      "name": "k7-firmware",
      "version": "3.4.1",
      "hashes": [{"alg": "SHA-256", "content": "a4f5c8e92b3d..."}]
    }
  },
  "components": [
    {
      "bom-ref": "pkg:sw/[email protected]",
      "type": "library",
      "name": "u-boot",
      "version": "2024.07",
      "purl": "pkg:sw/[email protected]",
      "hashes": [{"alg": "SHA-1", "content": "9f3a..."}],
      "licenses": [{"license": {"name": "GPL-2.0+"}}],
      "evidence": {"identity": [{"field": "purl", "confidence": 100}]}
    }
  ]
}

كل اعتماد داخل البرنامج الثابت لـ K7 يُسجَّل بـ Package URL (purl)، ومعرِّف ترخيص SPDX، وبصمة تشفير، وحقل المصدر. ويمكن للمشتري تشغيل [إصلاح: مطابق-للمصدر، نسبة-النص] cyclonedx-cli diff بين قائمتي SBOM لمعرفة ما تغيَّر بالضبط بين الإصدارين 3.4.0 و3.4.1 من البرنامج الثابت — عادةً ما بين 4 و9 مكونات معدَّلة في إصدار تحديث أمني روتيني.

متجهات هجوم سلسلة التوريد الخاصة بقلم القراءة

يمتلك قلم قراءة الأطفال سطح هجوم أصغر من حاسوب لوحي للأغراض العامة، لكنه يضم عدة متجهات يقلِّل المشترون من تقديرها:

1. باب خلفي في محرك OCR — قد يتسبَّب فرم مُخترَق من Tesseract في تسريب صور الصفحات الممسوحة إلى نقطة نهاية يتحكم فيها المهاجم. نُثبِّت Tesseract على commit محدد ونُعيد بناءه بعلامات البناء القابل للتكرار.
2. تبديل نموذج صوت TTS — نماذج الصوت ملفات ثنائية كبيرة (40 إلى 200 ميغابايت). قد يَحقن تبديلها ألفاظاً مسيئة أو محتوى سياسياً في مادة القراءة. نوقِع على نماذج الصوت بمفتاح ECDSA نفسه المستخدم للبرنامج الثابت ونرفض التواقيع غير المطابقة أثناء التشغيل.
3. تعديل كتلة البرنامج الثابت لشبكة Wi-Fi — الكتل الثنائية الصادرة عن مصنِّع شريحة Wi-Fi (Realtek، Broadcom) لا يمكن إعادة بنائها من المصدر. نُجري تحليلاً ثنائياً مقابل الإصدار المرجعي للمورِّد ونرفض أي انحراف يتجاوز الأخطاء الموثَّقة.
4. تسميم قاموس الترجمة — يوفِّر عملاء OEM (دور النشر، وزارات التعليم) قواميس مخصصة. نتحقَّق من البصمة لكل قاموس مقابل بيان التوقيع المُوقَّع من الناشر عند تحميل المحتوى.
5. اختراق خادم التحديث عبر الهواء OTA — أكثر متجهات سلسلة التوريد شيوعاً في صناعة IoT. نُثبِّت شهادة خادم OTA في ذاكرة تُكتب مرة واحدة عند الإقلاع الأول، ونرفض قبول أي مرجع مصادقة آخر، حتى في حال تعطَّب تدوير مرجع مصادقة الشركة.
6. سيليكون مقلَّد — قد تكون شرائح SoC الخاصة بقلم القراءة، المورَّدة عبر وسطاء غير مرخَّصين، مُعاد تمييزها إلى قُطران أقل مواصفات. يُجري قسم مراقبة الجودة الواردة لدينا فحص قالب بالأشعة السينية على عيِّنة بمستوى AQL نسبته 2% من كل دفعة شحن.

خط أنابيب البناء القابل للتكرار

يتيح البناء القابل للتكرار لأي طرف ثالث إعادة توليد البرنامج الثابت لدينا بايت بايت من المصادر المُدرَجة في SBOM. لقد استثمرنا في قابلية التكرار لنسبة 90% من البرنامج الثابت التي تكون مفتوحة المصدر. أما نسبة 10% المتبقية — الكتل المغلقة — فتُوثَّق في SBOM تحت E5.

يُنفِّذ خط أنابيب CI لدينا الأمر [إصلاح: مطابق-للمصدر، نسبة-النص] make SOURCE_DATE_EPOCH=fixed deterministic-build=yes ويقارن مخرج SHA-256 بمخرج مرجعي منشور. اعتباراً من الربع الثالث من 2026، تُعد صورة البرنامج الثابت لـ K7 قابلة للتكرار بايت بايت على بيئتي Debian Bookworm وUbuntu 22.04 LTS. أما منصات F8 وB2 وQ8 وY6 فتصل قابلية التكرار فيها بين 92% و98% بحسب شريحة Wi-Fi/BT المُركَّبة.

يمكن للمشترين التحقق بشكل مستقل من قابلية التكرار باستخدام السكربت العام لدينا:

[إصلاح: مطابق-للمصدر، نسبة-النص]
git clone https://internal.smartreadingpen.example/k7-firmware.git
cd k7-firmware && git checkout v3.4.1
./build.sh --deterministic --output k7-firmware-3.4.1.bin
sha256sum k7-firmware-3.4.1.bin
# Should match: a4f5c8e92b3d...

انضباط تثبيت المورِّد والاعتمادات

كل مكوّن مفتوح المصدر مُثبَّت على commit hash محدد وليس على وسم عائم. يخضع الانتقال إلى commit جديد لاتفاقية مستوى خدمة مدتها أسبوعان. وخلال تلك النافذة، نُجري:

• تحليلاً ساكناً باستخدام Coverity Scan وCodeQL
• اختبار ضبابي باستخدام AFL++ لمدة لا تقل عن 100 ساعة معالجة مركزية على المحلِّلات
• مراجعة توافق التراخيص مقابل قائمة التراخيص المسموح بها (MIT، BSD-2، BSD-3، Apache-2.0، LGPL-2.1 مع استثناء الربط الديناميكي، GPL-2.0+ للإقلاع/النواة فقط)
• فحص قواعد بيانات الثغرات (NVD، GHSA، OSV) مقابل الإصدار الجديد

تُحجَز المكونات التي تفشل في أي بوابة على الإصدار السابق. تُسجِّل قائمة SBOM الإصدار المحجوز والإصدار الحالي في المصدر الأَعلى، ليتسنَّى للمشتري رؤية ما نعرفه بالضبط.

سلسلة إثبات المصدر والتوقيع على البرنامج الثابت

يحمل كل برنامج ثابت إنتاجي لـ K7 ثلاث طبقات توقيع:

1. توقيع المطوِّر — يوقِّع المهندس الذي بنى البرنامج الثابت بمفتاح GPG شخصي. يُسجَّل في نظام البناء.
2. توقيع شركة OEM — توقِّع وحدة أمان مادية (YubiHSM 2) محفوظة في خزنتنا في شنتشن بالمرجع الفرعي للشركة.
3. توقيع الشاهد المستقل — يقدِّم مدقق خارجي (Bureau Veritas أو TÜV) توقيعاً مضاداً لأكواد SKU المتجهة إلى أسواق K12 في الولايات المتحدة والاتحاد الأوروبي وأستراليا.

يُتحقَّق من السلسلة بترتيب عكسي في مُحمِّل الإقلاع بالجهاز. تُرفض أي صورة فلاش تفتقد أي توقيع عند الإقلاع. ويمكن للفريق التنظيمي لدى العميل طلب نسخة من أي سلسلة توقيع عبر البريد الإلكتروني [إصلاح: مطابق-للمصدر، نسبة-النص] [email protected] مع ذكر كود SKU والنطاق التسلسلي.

الإفصاح عن الثغرات ودورة حياة SBOM-CVE

لا تزيد قيمة SBOM عن قيمة العملية التي تحافظ على تحديثه. تُوثَّق دورة حياة إدارة الثغرات لدينا بشكل منفصل في TC-149 (دورة حياة تصحيح CVE). وباختصار:

1. استيعاب يومي — تُسحب موجزات NVD وGHSA وOSV-Scanner إلى نظام التتبُّع لدينا.
2. مطابقة المكونات — تُطابَق كل CVE مقابل قائمة مكونات SBOM بواسطة CPE أو purl.
3. اتفاقية مستوى خدمة الفرز — تتعامل مع الثغرات الحرجة (CVEs) بهدف إصدار تصحيح خلال 72 ساعة؛ الثغرات العالية خلال 14 يومًا؛ المتوسطة خلال 45 يومًا؛ والمنخفضة في الإصدار الفصلي التالي.
4. إشعار العميل — أي ثغرة CVE بدرجة 7.0 أو أعلى مع وجود استغلال فعلي تطلق بريدًا إلكترونيًا للمشترين المسجلين خلال 24 ساعة.
5. طرح التحديث عبر الهواء (OTA) — يدخل إصدار التصحيح إلى قناة OTA التجريبية لمدة 7 أيام، ثم إلى 25% من الأجهزة، ثم إلى 100% خلال 21 يومًا.

يزداد رقم إصدار SBOM مع كل إصدار. ويمكن للمشتري الذي يستخدم dependency-track أو GUAC استيعاب موجز SBOM الخاص بنا على /sbom/feed.json وتلقي تنبيهات عند ظهور ثغرات جديدة تؤثر على الأجهزة المنتشرة لديه.

التدقيق والإثبات والأدلة التي يمكن للمشتري التحقق منها

غالبًا ما يُلزم المشترون الخاضعون لقواعد المشتريات الفيدرالية الحصول على شهادة من طرف ثالث. وتتضمن حزمة SBOM القياسية الخاصة بنا:

• تقرير SOC 2 النوع II الذي يغطي بيئة بناء البرامج الثابتة (سنويًا، من إعداد Schellman & Co.)
• شهادة ISO/IEC 27001:2022 لخط نشر وتوقيع SBOM (Bureau Veritas، رقم الشهادة CN-2024-IS-0091)
• [إصلاح: نسبة-النص] TÜV NORD EN 303 645 الامتثال لخط الأساس الأمني لإنترنت الأشياء الاستهلاكي
• تقييم ذاتي وفقًا لـ NIST SP 800-218 SSDF v1.1 (إطار تطوير البرمجيات الآمنة) — يتوفر ملف PDF كامل تحت اتفاقية عدم إفصاح (NDA)
• الحد الأدنى من حقول SBOM وفقًا لمطابقة NTIA 2024 (جميع حقول البيانات السبعة مُعبأة)
• موجز VEX على /vex/feed.json لأي ثغرة CVE مصنفة على أنها "not_affected" مع توثيق المبررات

يمكن للمشتري أيضًا إرسال مدقق إلى منشأتنا في شنجن لإجراء جولة استكشافية لسلسلة التوريد تستغرق يومًا واحدًا. يغطي التدقيق منطقة تجهيز قوائم المواد (BOM)، ومزرعة بناء البرامج الثابتة، وسلسلة حيازة HSM للتوقيع، والبنية التحتية لخلفية OTA.

أرقام الإنتاج الفعلية — مثال K7 و Y6

بالنسبة لدفعة إنتاج حديثة لـ K7 بلغت 50,000 وحدة وموجهة لمنطقة مدرسية في الولايات المتحدة:

أما بالنسبة لطراز Y6 الأعلى فئة (قلم قراءة خلوي 4G مع معلم ذكاء اصطناعي)، فإن SBOM أكبر (أكثر من 21,000 مكون) ويتضمن البرامج الثابتة للمودم الخلوي كبند منفصل ضمن E5.

شبكة الروابط الداخلية لمحتوى SBOM

سيحتاج مشتري أمان أقلام القراءة إلى الاطلاع عبر كتالوجنا:

• TC-149 — دورة حياة تصحيح الثغرات (CVEs) والإفصاح عن نقاط الضعف (مستهلك موجز SBOM)
• TC-145 — هجوم القنوات الجانبية والتشفير بزمن ثابت (التهديدات على مستوى الخوارزمية التي لا يكشفها SBOM)
• TC-147 — تعطيل JTAG وإغلاق واجهة التصحيح (المكمِّل على مستوى الجهاز لشفافية SBOM)
• صفحة منتج K7 — خيارات تخصيص خاصة بكل طراز لإصدارات التي تتضمن SBOM
• دليل الشراء: خارطة طريق الشهادات — كيف يتوافق SBOM مع عمليات تدقيق CE وFCC وEN71
• القطاع: خصوصية بيانات K12 — توافق FERPA وCOPPA وGDPR-K مع ممارسات SBOM

يشكّلان معاً قصة ذات حلقة مغلقة: يمكن للمشتري التحقق من الكود الموجود في الجهاز (SBOM)، وكيف وصل إليه (البناء القابل لإعادة الإنتاج + سلسلة التوقيع)، وما التهديدات التي يحملها (موجز CVE)، وما الدفاعات المدمجة فيه (إغلاق JTAG، التشفير بزمن ثابت، البرامج الثابتة الموقّعة).

الأسئلة الشائعة حول SBAM لقلم القراءة

{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "ما صيغ SBOM التي تُشحن مع كل جهاز من SmartReadingPen؟",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "نُشحن كلا من قوائم SBOM بصيغتي CycloneDX 1.5 وSPDX 2.3 مدمجة في حزمة التحديث الآمن إلى جانب صورة البرنامج الثابت. لكل SKU موجز SBOM مُنسَّق الإصدارات على /sbom/{sku}}/feed.json بالإضافة إلى لقطة لمرة واحدة داخل بيان التعبئة في المصنع."
      }
    },
    {
      "@type": "Question",
      "name": "كم عدد المكونات في البرنامج الثابت النموذجي لقلم القراءة K7؟",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "يحتوي البرنامج الثابت لإصدار K7 (الإصدار 3.4.x) على 18,400 إلى 18,500 مكوّنًا، منها 90.5% مصادر مُعتمدة أو توزيعات مُعتمدة (فئات الأدلة E1+E2)، و6.7% مكونات بائع مُعتمدة (كتل Wi-Fi/BT الثنائية)، والباقي تحت اتفاقيات عدم إفصاح أو مخاطر موروثة."
      }
    },
    {
      "@type": "Question",
      "name": "هل يمكن للمشتري التحقق من SBOM بشكل مستقل؟",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "نعم. ننشر تجزئات Commit الدقيقة للمصدر، وسكريبت البناء القابل لإعادة الإنتاج، وتجزئات SHA-256 المرجعية. يمكن للمشتري إعادة بناء البرنامج الثابت على مضيف Debian Bookworm أو Ubuntu 22.04 خاص به ومقارنة التجزئات؛ ويجب أن تتطابق بتة بتة بالنسبة للجزء مفتوح المصدر الذي يمثل 90% من الصورة."
      }
    },
    {
      "@type": "Question",
      "name": "ماذا يحدث عند اكتشاف ثغرة CVE حرجة في برنامج ثابت لقلم قراءة تم شحنه؟",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "خلال 24 ساعة من التأكيد، نُرسل بريدًا إلكترونيًا إلى جميع المشترين المسجَّلين يتضمن معرّف CVE، ووحدات SKU المتأثرة، وحالة المعالجة، وتاريخ التصحيح المتوقع. تستهدف ثغرات CVE الحرجة إصدار تصحيح خلال 72 ساعة؛ أما الثغرات عالية الخطورة فخلال 14 يومًا. يدخل الإصلاح إلى قناة OTA التجريبية لدينا ويُطرح تدريجيًا على مدى 21 يومًا."
      }
    },
    {
      "@type": "Question",
      "name": "هل تتوافق SmartReadingPen مع متطلبات SBOM الواردة في الأمر التنفيذي الأمريكي رقم 14028؟",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "نعم. يستوفي SBOM الخاص بنا جميع حقول NTIA السبعة الدنيا (اسم المورّد، واسم المكوّن، والإصدار، وعلاقة التبعية، ومؤلف بيانات SBOM، والطابع الزمني، والتجزئة) ويُنشر بصيغتي SPDX وCycloneDX. كما ننشر موجز VEX يوثّق قرارات 'not_affected' مع المبررات."
      }
    },
    {
      "@type": "Question",
      "name": "كيف يتفاعل SBOM مع قانون الاتحاد الأوروبي للمرونة السيبرانية (CRA)؟",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "يصبح قانون CRA نافذًا في عام 2027. يستوفي SBOM لدينا، وسياسة معالجة الثغرات، والتزام الدعم لمدة 5 سنوات بالفعل متطلبات الملحق الأول §2 من CRA. ننشر مسبقًا قوائم SBOM متوافقة مع CRA لجميع وحدات SKU الموجَّهة للاتحاد الأوروبي منذ عام 2025."
      }
    }
  ]
}

قراءات ذات صلة

• TC-149: دورة حياة تصحيح CVE لقلم القراءة والإفصاح عن الثغرات
• TC-145: هجوم القنوات الجانبية لقلم القراءة والتشفير بزمن ثابت
• TC-147: تعطيل JTAG لقلم القراءة وإغلاق واجهة التصحيح
• تخصيص OEM/ODM لقلم القراءة K7
• خارطة طريق شهادات OEM لقلم القراءة: CE وFCC وEN71
• خصوصية بيانات K12 لقلم القراءة: FERPA وCOPPA وGDPR-K

دعوة لاتخاذ إجراء بشأن المشتريات

إذا كنتم تقيّمون شركاء أقلام القراءة بنظام OEM لنشر في قطاع K12 على المستوى الاتحادي أو الولائي أو في الاتحاد الأوروبي، يمكننا إرسال حزمة SBOM نموذجية من K7 خلال 48 ساعة من توقيع اتفاقية عدم إفصاح متبادلة. تتضمن الحزمة كلاً من ملفات CycloneDX وSPDX، وسكريبت البناء القابل لإعادة الإنتاج، ومقتطفًا من تقرير SOC 2 Type II الذي يغطي خط أنابيب البرامج الثابتة لدينا، والتقييم الذاتي لـ NIST SSDF. راسلونا على [إصلاح: مطابق-للمصدر، نسبة-النص] [email protected] أو زوروا صفحة التواصل لطلب الحزمة.

هل تودّون مشاهدة مزرعة البناء شخصيًا؟ نستضيف جولات تعريفية شهرية لسلسلة التوريد في منشأتنا في شنتشن. تغطي الزيارة التي تستغرق يومًا واحدًا منطقة تجهيز BOM، وسلسلة حراسة HSM، وغرفة التوقيع، وعرضًا حيًا للبناء القابل لإعادة الإنتاج. احجزوا جولة في المصنع وسيصحبكم كبير مسؤولي الأمن لدينا شخصيًا عبر كل حلقة في السلسلة.