Læsepen Anti-Rollback og Versionsbekræftelse: Hvorfor en Klonet Pen Ikke Må Boote Ældre Firmware

Målgruppe: Denne artikel er skrevet til OEM/ODM-programchefer, brandejere, der er bekymrede for DRM-erosion, og compliance-ansvarlige ved skolers indkøbsafdelinger, som har brug for et klart svar på ét spørgsmål: "hvis en konkurrent tager en pen fra vores hylde og genflasher ældre firmware, kan de så genskabe et DRM-frit OID-bibliotek?". Vi gennemgår den monotone tæller, eFuse-layoutet, versionsattest-håndtrykket og felt-debug-flowet på hver eneste af de 11 SKU'er i Smart Reading Pen-serien (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6).

Anti-rollback er den kedeligt-klingende sikkerhedsfunktion, som et læsepen-program ikke kan undvære. En DRM-ordning, der beskytter OID-bibliotekets AES-128-indpakning, er kun så stærk som den firmware, der holder indpakningsnøglen – og hvis firmwaren kan tilbagerulles til en build, der ikke tjekker indpakningen, fejler indpakningen åben. Vi har sendt 47 000+ penne, og vi har set tre reverse-engineering-forsøg mislykkes netop, fordi vi fangede dem, før de nåede en build med en lavere monoton tæller.

Indkøbertip: Stil leverandøren to spørgsmål: "hvad er jeres højeste monotone tæller på en udsendt pen?" og "kan I tilbagekalde en tæller og gennemtvinge flådeomspændende attestering?". En leverandør med en tæller over 1 000 på produktionshardware sender reelle firmwareopdateringer; under 200 gør de ikke.

1. De tre trusler, som anti-rollback forsvarer imod

Anti-rollback er ikke en enkelt funktion. Det er det samlede forsvar mod tre angrebsklasser, som enhver B2B-indkøber bør bekymre sig om.

1. Reproduktion: En konkurrent åbner en pen, aflodder flashen, dumper firmwaren og genflashere en forfalsket flåde. Anti-rollback fanger dem ved næste attestering.
2. Benægtelse: En OEM-litigant påstår "denne pen blev sendt med gammel firmware, og vi er ikke ansvarlige". Den monotone tæller er den revisionskæde, der fastgør firmwaren til en dato.
3. Regression: En distributør finder en gammel build, der ikke håndhæver OID-indpakningen. De patcher builden tilbage til deres flåde. Anti-rollback fanger dem ved næste opstart.

Vi behandler alle tre som inden for det tekniske teams opgaveområde. Tælleren og attesteringsblokkene er dimensioneret tilsvarende.

2. Den monotone tæller pr. SKU

Den monotone tæller ligger på en forskellig fysisk placering pr. platform. Hver SKU har mindst én tæller; de fleste har to (en til firmware, en til OID-ordbogens version).

Cortex-M4F eFuse-rækkerne er engangsprogrammerbare. Når først en række er brændt, kan tælleren ikke rulles tilbage. De 32 bits fordelt over otte banker à 4 bits giver os et teoretisk inkrementbudget på 2^32, mere end rigeligt til hele levetiden for en given SKU.

Cortex-M33- og Cortex-A53-designene kombinerer en batteribackuppet NVM-tæller (5 års batterilevetid) med en eFuse-række. NVM-tælleren håndterer rutinemæssige versionspring; eFuse-rækken er reserveret til nødattesteringer. Den tripelt redundante tæller på T2 og Y6 er den højeste standard og kræves for Mønster A OEM-programmer, der ønsker den stærkest mulige anti-benægtelseskæde.

3. Versionsattestering ved første boot

Versionsattestering er det håndtryk, hvor pennen over for skyen eller en service-jig beviser, at den kører firmware på eller over et angivet minimum. Protokollen er den samme på alle SKU'er, men den kryptografiske primitive varierer.

min_fw_version ligger i NVM og er signeret af OEM-mellemleder-CA. Den kan hæves via en OTA-payload, men aldrig sænkes. Pennen sammenligner ved hver boot. Sammenligningen bruger SE'ens hardware-sammenligner, så selv hvis host-CPU'en er kompromitteret, stoppes bootprocessen.

4. Feltstatistik: Hvor ofte bliver penne blokeret?

På tværs af 47 000+ udrullede penne i 2025–26 opfangede rollback-detektionsundersystemet følgende forsøg.

De fire bekræftede forfalskningslaboratorieforsøg blev opdaget i felten inden for 30 dage; alle fire involverede penne, hvor SE'en var fysisk aftageligt loddet af og udskiftet. Da vi knytter den enhedsspecifikke identitetsnøgle til SE-id'et, kunne den forfalskede pen ikke gennemføre OTA-håndtrykket og blev blacklistet.

6. Nødtilbagerulning med tvungen tilbagekaldelse

Der er ét tilfælde, hvor vi vil tvinge hele flåden op til en højere tæller. Det sker, når der opdages et reelt problem i marken, og vi har brug for, at hver pen re-attesterer med en ny minimumsversion. Proceduren er identisk på alle SKU'er.

T2 er den mest aggressivt opdaterede serie; det er med vilje, fordi T2 har den højeste DRM-værdi pr. enhed (det nye premium OID-bibliotek). Y6 opdateres mere konservativt, fordi den er positioneret som en stabil arbejdshest til skoledistrikter, der ikke ønsker månedlige ændringer.

T-serien (T2)

Der er ét tilfælde, hvor vi vil tvinge hele flåden op på en højere tæller. Det sker, når der opdages et reelt problem i marken, og vi har brug for, at hver pen re-attesterer med en frisk minimumsversion. Proceduren er identisk på hver SKU.

1. Generer et nyt firmware-image med min_fw_version = aktuel + 10.
2. Y-serien (Y6)
3. Send imaget via OTA, markeret med "EMERGENCY"-flaget.
4. Ved næste succesfulde boot hæves tæller-tjekket til den nye værdi, og pennen fortsætter.
5. Penne, der aldrig modtager OTA'en inden for 30 dage, markeres på cloud-dashboardet for OEM'en.

T2 er den mest aggressivt opdaterede linje; det er med vilje, fordi T2 har den højeste DRM-værdi pr. enhed (det nye premium OID-bibliotek). Y6 opdateres mere konservativt, fordi den er positioneret som en stabil arbejdshest til skoledistrikter, der ikke ønsker månedlige ændringer.

7. OEM-programmer og tællerforvaltning

For OEM Pattern A-programmer (kun T2, Y6) inkrementeres tælleren af OEM'ens signerings-HSM. OTA-payload'en konstrueres af importørens'ere signeringsværktøj. For OEM Pattern B ejes tælleren af fabrikkens HSM, og importøren kan kun anmode om en tællerforøgelse via en support­ticket.

Pattern A er den mest sikre, men også den mest operationelt tunge. En tællerforøgelse kræver to OEM-side-signaturer, hvilket koster 8 ms på en Thales Luna T-7. Pattern B er gratis på enhedsniveau, men betyder, at importøren ikke ensidigt kan hæve tælleren under en hændelse i forsyningskæden.

Beslutnings­tommelfinger­reglen, vi foreslår OEM-købere: vælg kun Pattern A, hvis dit program sender over 50 000 penne/år, eller hvis dine udbud eksplicit kræver intern tællerforvaltning. Under det niveau giver Pattern B dig de samme forsvarbare anti-rollback-egenskaber uden ekstra driftsomkostninger.

8. Omprogrammering efter et blokeret tællerforsøg

Når en pen blokeres af en anti-rollback-kontrol, er den eneste vej tilbage en fabrikkens re-flash med en engangsvedligeholdelses­token. Tokenen genereres af OEM-supportteamet, signeres af fabrikkens HSM, er gyldig i 30 dage og brændes efter brug. Omkostning: $1,20 pr. token i stor skala (det sikre elements brænding er flaskehalsen), manuelt arbejde $4,50.

For 47 000+ sendte penne er den gennemsnitlige rate af blokeringer 0,07 % pr. år; det svarer til omkring 33 udsendte tokens. Vi budgetterer med 200 tokens pr. år ved 50 000 penne; variationen er indeholdt i vores margin.

9. Bundlinjen for distributører og udbud

Anti-rollback er det, der forvandler en DRM-ordning fra "papir" til "håndhævet". Den monotone tæller, OTA-bump-mekanismen og felt-debug-stoppet er alt, hvad der står mellem et legitimt OEM-bud og en forfalskningsfabrik. På tværs af de 11 SKU'er holder vi tælleren på tre redundante teknologier (SE NVM, eFuse-række, RTC-spejl på T2/Y6) med kvartalsvise audits.

Anmod om tilbud — få et hurtigt svar fra fabrikken

CTA

Relateret læsning

• Læsepen firmware-kryptering og sikker opstart
• Læsepen BIOS-bootflow og trusted boot
• Læsepen OTA-rollback og version-pinning
• Læsepen kryptografi og TrustZone
• Sikker element og anti-manipulation i læsepen
• Nøgleadministration og HSM til læsepen
• Anmod om tilbud

Endelig CTA