Κύκλος ζωής επιδιορθώσεων CVE και αποκάλυψη ευπαθειών για το Reading Pen: από την εισαγωγή στο NVD έως την ανάπτυξη OTA σε 21 ημέρες

Κοινό

Αυτό το άρθρο απευθύνεται σε διευθυντές ασφάλειας IT, CIO σχολικών περιφερειών, υπεύθυνους προμηθειών OEM και υπεύθυνους συμμόρφωσης που πρέπει να κατανοήσουν τη ροή διαχείρισης CVE από άκρο σε άκρο πίσω από ένα σύγχρονο κινέζικο αναγνωστικό στυλό. Εξηγεί πώς η ομάδα ODM μας ενσωματώνει δεδομένα ευπαθειών, τα αντιστοιχίζει σε στοιχεία firmware, κυκλοφορεί patches και τα αναπτύσσει στις ήδη εγκατεστημένες συσκευές K7, F8, B2, Y6, Q8 και L5 χωρίς καμία αναστάτωση στην τάξη. Υποθέτει βασική εξοικείωση με NVD, GitHub Security Advisories και έννοιες ενημερώσεων OTA, αλλά κανένα εξειδικευμένο υπόβαθρο αντιμετώπισης περιστατικών.

Μια ανάπτυξη 50.000 συσκευών σε σχολική περιφέρεια αποτελεί δοκιμασία αντοχής για κάθε αγωγό ενημερώσεων. Τα patches που φτάνουν στη μέση του μαθήματος διακόπτουν τις συνεδρίες ανάγνωσης, μπερδεύουν 7χρονα παιδιά και δημιουργούν τηλεφωνικές κλήσεις στο help desk στις 8 το πρωί. Ακόμη χειρότερα, μια κακώς σταδιακή OTA μπορεί να αφήσει συσκευές με «τούβλο» στο καρότσι φόρτισης κατά τη διάρκεια της νύχτας. Ο κύκλος ζωής ενός patch CVE για ένα αναγνωστικό στυλό πρέπει να είναι ταυτόχρονα γρήγορος (επειδή τα CVE κινούνται με την ταχύτητα του internet) και ομαλός (επειδή τα παιδιά είναι οι τελικοί χρήστες). Αυτό το άρθρο περιγράφει τη διαδικασία που έχουμε βελτιώσει σε 9 γενιές παραγωγής firmware K7 και 4 γενιές των F8 και Y6.

Οι τέσσερις φάσεις του κύκλου ζωής CVE

Οργανώνουμε την εργασία σε τέσσερις φάσεις, καθεμία με καθορισμένο SLA και σαφή υπεύθυνο:

Μια ευπάθεια με βαθμολογία ≥7.0 στο CVSS 3.1 και δημόσιο exploit public exploit (καταχωρημένη στο CISA KEV) μεταπηδά σε στόχο patch 72 ωρών. Ένα μεσαίο CVE χωρίς exploit ακολουθεί το επόμενο τρίμηνο release train.

Φάση 1: Καθημερινή εισαγωγή ευπαθειών

Κάθε πρωί στις 04:00 UTC, μια εργασία cron στον διακομιστή ενορχήστρωσης ασφάλειας τραβά δεδομένα από οκτώ feeds:

• Ροή NVD CVE JSON 2.0 — κύρια πηγή CVE, κατά μέσο όρο ~280 νέα CVE ανά ημέρα
• Συμβουλές ασφαλείας GitHub (GHSA) — συχνά μπροστά από το NVD για πακέτα ανοιχτού κώδικα
• OSV.dev — συντηρείται από την κοινότητα, με καταχωρήσεις purl για άμεση αντιστοίχιση SBOM
• Γνωστές αξιοποιημένες ευπάθειες CISA (KEV) — διαδρομή αναβάθμισης για exploit εν χρήσει
• Σημειώσεις ευπαθειών CERT/CC — συντονισμένες αποκαλύψεις πολλών προμηθευτών
• Ροές ασφαλείας Alpine, Debian, Buildroot — distro-blessed τεκμηρίωση ενημερώσεων
• Feeds PSIRT προμηθευτών— Allwinner, Rockchip, Realtek, Goodix, Bestechnic
• Εσωτερικά ευρήματα pentest — εξαμηνιαίες αναφορές εξωτερικής red team

Η ροή εισαγωγής είναι περίπου 280 έως 350 CVE ανά ημέρα, από τα οποία περίπου 35 έως 50 ταιριάζουν με στοιχεία που υπάρχουν στο ενεργό μας SBOM. Η λογική αντιστοίχισης χρησιμοποιεί CPE 2.3, purl και το τριπλό όνομα πακέτου + έκδοση, με αυτή τη σειρά προτίμησης.

Φάση 2: Ροή διαλογής και SLA

Ένα CVE που έχει αντιστοιχιστεί ανατίθεται σε μηχανικό ασφάλειας εντός 4 ωρών. Ο μηχανικός παράγει μια καταγραφή διαλογής που περιλαμβάνει:

1. Επηρεαζόμενα SKU — ποια από τα 11 μοντέλα του καταλόγου μας (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6) διαθέτουν το επηρεαζόμενο στοιχείο
2. Επηρεαζόμενες εκδόσεις firmware — συγκεκριμένο εύρος v3.x ή v4.x
3. Αξιολόγηση εκμεταλλευσιμότητας — είναι το CVE προσβάσιμο από τις διεπαφές δικτύου της συσκευής;
4. Υπάρχουσα μετριασμός — πολιτική SELinux, κανόνας firewall, απενεργοποιημένο feature flag που μπορεί ήδη να μπλοκάρει τη διαδρομή
5. Πολυπλοκότητα patch — γραμμές κώδικα που αλλάζουν, κίνδυνος regression, επιφάνεια δοκιμών

Το SLA διαλογής είναι 24 ώρες για κρίσιμα, 72 ώρες για υψηλά, 5 ημέρες για μεσαία. Μετράμε και δημοσιεύουμε τον διάμεσο χρόνο διαλογής μας στον δημόσιο πίνακα ελέγχου — σήμερα 11 ώρες για κρίσιμα CVE.

Βαθμολόγηση CVSS και προσαρμοσμένη σοβαρότητα

Χρησιμοποιούμε το CVSS 3.1 ως βασική βαθμολογία αλλά εφαρμόζουμε μια εσωτερική «προσαρμοσμένη σοβαρότητα» που αντικατοπτρίζει το πραγματικό πλαίσιο ανάπτυξης του αναγνωστικού στυλό:

• Ευπάθειες Δικτύου (CVE) λαμβάνουν προσαρμογή +0,5 επειδή τα περισσότερα reading pens λειτουργούν σε Wi-Fi σχολείου ή σπιτιού πίσω από NAT
• Τοπικές Ευπάθειες (CVE) που απαιτούν φυσική πρόσβαση μέσω USB λαμβάνουν προσαρμογή -1,0
• Κρυπτογραφικές Ευπάθειες (CVE) που επηρεάζουν απαρχαιωμένες σουίτες κρυπτογράφησης, οι οποίες είναι ήδη απενεργοποιημένες στο build μας, λαμβάνουν προσαρμογή -1,5
• Ευπάθειες (CVE) που απαιτούν αλληλεπίδραση χρήστη (phishing) λαμβάνουν προσαρμογή -0,5 επειδή οι τελικοί χρήστες είναι παιδιά που δεν κάνουν κλικ σε συνδέσμους

Ένα CVE με βασική βαθμολογία 8,1 μπορεί να διαμορφωθεί σε 6,5 προσαρμοσμένη, ενώ ένα CVE με βάση 6,8 που περιλαμβάνεται ενεργά στον κατάλογο KEV παραμένει σε 7,5+ προσαρμοσμένη λόγω του τροποποιητή +1,0 KEV.

Φάση 3: Ανάπτυξη και Έλεγχος του Patch

Μόλις εγκριθεί ένα patch, η ομάδα μηχανικών firmware δημιουργεί ένα hotfix branch από το πιο πρόσφατο production tag. Το patch πρέπει να περάσει τέσσερις πύλες ελέγχου πριν υπογραφεί για παράδοση μέσω OTA.

Πύλη 1: Στατική Ανάλυση

Τα Coverity Scan 2024.03 και CodeQL 2.16.3 εκτελούνται σε κάθε patch. Μια νέα προειδοποίηση σε επίπεδο "High" επιπτώσεων αποκλείει το patch. Οι υπάρχουσες προειδοποιήσεις πρέπει να αντιμετωπιστούν εντός 90 ημερών, διαφορετικά το patch αναστέλλεται.

Πύλη 2: Μοναδιαίες και Δοκιμές Ολοκλήρωσης

Το test harness του firmware μας διαθέτει 14.200+ μοναδιαίες δοκιμές που καλύπτουν τη μηχανή ASR, τη σωλήνωση TTS, το Bluetooth stack, τον Wi-Fi manager, το επίπεδο OCR και τον update manager. Ένα patch πρέπει να επιτύχει ποσοστό επιτυχίας 100%. Το ελάχιστο όριο κάλυψης είναι 78% γραμμές / 71% branches· τα patch που μειώνουν την κάλυψη απορρίπτονται.

Πύλη 3: Δοκιμή Soak 48 Ωρών

Το επιδιορθωμένο firmware εκτελείται σε 240 μονάδες αναφοράς (20 από κάθε ενεργό μοντέλο στο εργαστήριό μας) για 48 ώρες υπό προσομοιωμένη χρήση. Παρακολουθούνται οι ακόλουθες μετρήσεις:

• Ρυθμός ψευδώς θετικών αποδοχών wake-word (στόχος: <0,3 ανά ώρα)
• Ποσοστό σφάλματος λέξεων ASR (στόχος: <5,2% στο υποσύνολο TIMIT-children)
• Κατανάλωση μπαταρίας (στόχος: <2,1% ανά ώρα σε αδράνεια)
• Αξιοπιστία ενημέρωσης (στόχος: 100% επιτυχία σε dual-bank A/B failover)
• Θερμοκρασία (στόχος: επιφάνεια <41,2 °C σε θερμοκρασία περιβάλλοντος 30 °C)

Οποιαδήποτε υποχώρηση σε κάποια μέτρηση αποκλείει το patch και επιστρέφει στο development branch.

Πύλη 4: Δοκιμή Ασφαλείας Βαθμιαίας Υποχώρησης

Το πλήρες σετ δοκιμών υποχώρησης CVE εκτελείται εκ νέου για να επιβεβαιωθεί ότι η επιδιόρθωση κλείνει πράγματι την ευπάθεια και δεν εισάγει νέα. Διατηρούμε ένα corpus 1.200+ δοκιμών αναπαραγωγής για CVE που χρονολογούνται από το 2018. Ένα νέο patch δεν πρέπει να υποχωρεί κανένα κλειστό CVE.

Φάση 4: Πολυσταδιακή Διάθεση OTA

Μόλις ένα patch περάσει και τις τέσσερις πύλες, εισέρχεται στο κανάλι σταδιοποίησης OTA. Τα reading pens στο πεδίο ελέγχουν για ενημερώσεις κάθε 6 ώρες μέσω Wi-Fi και κάθε 24 ώρες μέσω δικτύου κινητής τηλεφωνίας (μόνο για την πλατφόρμα Y6). Η καμπύλη διάθεσης ακολουθεί κλιμάκωση 4 σταδίων:

Ο στόλος canary αποτελείται από 480 συσκευές κατανεμημένες σε 12 συνεργαζόμενα σχολεία, γεωγραφικά ισορροπημένες σε Βόρεια Αμερική, ΕΕ και Ασία-Ειρηνικό. Το ποσοστό αποτυχίας μετριέται ως (bricked συσκευές + συσκευές σε boot loop + αναφορές υποχώρησης κρίσιμης λειτουργικότητας) / σύνολο συσκευών στην ομάδα.

Μια παύση διάθεσης διερευνάται εντός 4 ωρών. Εάν το πρόβλημα είναι αναπαραγώγιμο στο εργαστηριακό υλικό, το firmware αποσύρεται και ξεκινά νέος κύκλος patch. Εάν το πρόβλημα αφορά συγκεκριμένο στόλο (π.χ., το captive portal μιας σχολικής περιφέρειας μπλοκάρει το endpoint OTA), η διάθεση συνεχίζεται για τις μη επηρεαζόμενες περιφέρειες.

Εφεδρική λειτουργία A/B Διπλής Τράπεζας

Κάθε συσκευή K7, F8, Y6 χρησιμοποιεί dual-bank SPI NOR flash (32 MB ή 64 MB συνολικά, 16/32 MB ανά τράπεζα). Μια ενημέρωση γράφει τη νέα εικόνα στην ανενεργή τράπεζα, επαληθεύει την υπογραφή ECDSA-P256 και έπειτα αλλάζει μια σημαία του bootloader ώστε να δείχνει στη νέα τράπεζα κατά την επόμενη επανεκκίνηση. Εάν η νέα εικόνα αποτύχει να εκκινήσει 3 συνεχόμενες φορές, ο bootloader επιστρέφει αυτόματα στην προηγούμενη τράπεζα.

Αυτός ο σχεδιασμός A/B μας παρέχει διαδρομή ανάκτησης χωρίς τεχνικό επί τόπου. Ένα κακό patch δεν μπορεί να καταστήσει άχρηστο έναν στόλο — στη χειρότερη περίπτωση κοστίζει έναν κύκλο επανεκκίνησης.

SLA Ειδοποίησης Πελατών

Δημοσιεύουμε πολιτική αποκάλυψης ευπαθειών στη διεύθυνση /security/disclosure.html και ειδοποίηση των πελατών σύμφωνα με το ακόλουθο πρόγραμμα:

Τα email ειδοποίησης περιέχουν: CVE ID, βασική και προσαρμοσμένη βαθμολογία CVSS, επηρεαζόμενα SKU και εύρος εκδόσεων firmware, κατάσταση μετριασμού, αναμενόμενη ημερομηνία επιδιόρθωσης και μια επαφή για την παραλαβή της υπογεγραμμένης επιδιόρθωσης πριν από τη δημόσια κυκλοφορία υπό MNDA.

Οι αγοραστές με ενεργά συμβόλαια συντήρησης (επί του παρόντος το 84% των αναπτύξεών μας K7) λαμβάνουν την επιδιόρθωση 7 ημέρες πριν από τη δημόσια κυκλοφορία OTA, ώστε να προετοιμάσουν την εσωτερική επικύρωση.

Συντονισμένη Γνωστοποίηση με Ερευνητές

Δεχόμαστε αναφορές ευπαθειών μέσω [email protected] και μέσω του προγράμματός μας HackerOne (smartreadingpen program ID #H1-SRP-2023). Οι αναφορές ερευνητών επιβεβαιώνονται εντός 24 ωρών και αξιολογούνται εντός 72 ωρών. Δεσμευόμαστε για τα εξής:

• Επιβεβαίωση ή απόρριψη της αναφοράς εντός 14 ημερών
• Ανάπτυξη επιδιόρθωσης εντός 90 ημερών για υψηλή/κρίσιμη σοβαρότητα, ή τεκμηρίωση μεγαλύτερου χρονοδιαγράμματος
• Αναγνώριση του ερευνητή στην ετήσια έκθεση διαφάνειάς μας, εκτός εάν ζητήσει ανωνυμία
• Καμία νομική δίωξη κατά ερευνητών που ενεργούν καλόπιστα σύμφωνα με την πολιτική μας

Η ετήσια έκθεση διαφάνειας του 2024 κατέγραψε 14 έγκυρες αναφορές από εξωτερικούς ερευνητές, με μέσο χρόνο επιδιόρθωσης 41 ημέρες για ζητήματα υψηλής σοβαρότητας. Η υψηλότερη μεμονωμένη αμοιβή που καταβλήθηκε ήταν $4,800 για μια παράκαμψη ζεύξης Bluetooth που ανακαλύφθηκε στην πλατφόρμα F8.

Χρονοδιάγραμμα Γνωστοποίησης για Πραγματικό Περιστατικό

Για να γίνει κατανοητό, ακολουθεί ένα πραγματικό χρονοδιάγραμμα από ένα περιστατικό του 2025 που αφορά ένα υποθετικό Wi-Fi CVE (W-2):

End-to-end: 25 ημέρες από τη δημοσίευση NVD έως την ανάπτυξη στο 100%. Διάμεσος για το 2024: 28 ημέρες.

Μετρικές που παρακολουθούμε και δημοσιεύουμε

Ο πίνακας ασφαλείας προϊόντος στο /security/metrics.html εμφανίζει:

• Μέσος Χρόνος Διαλογής (MTTT) — διάμεσος 11 ώρες για κρίσιμα CVE
• Μέσος Χρόνος Επιδιόρθωσης (MTTP) — διάμεσος 9 ημέρες για κρίσιμα, 19 ημέρες για υψηλής σοβαρότητας
• Ποσοστό Υιοθέτησης Επιδιορθώσεων — 91,4% του στόλου K7 σε τρέχον firmware εντός 60 ημερών
• Εκκρεμή CVE — επί του παρόντος 4 μεσαίας σοβαρότητας CVE σε αναμονή της επόμενης τριμηνιαίας έκδοσης
• Ποσοστό Ταυτοποίησης Αναπαραγώγιμων Builds— 100% σε K7, F8, Y6
• SLA προς πελάτες που τηρήθηκαν — 96,7% των κρίσιμων ειδοποιήσεων εντός 24 ωρών

Αγοραστές που ενσωματώνονται με το SBOM feed μας (δείτε TC-148) μπορούν να εγγραφούν σε ειδοποιήσεις VEX στο /vex/feed.json και να ειδοποιούνται αυτόματα μέσω του dependency-track ή του GUAC τους όταν ένα νέο CVE αντιστοιχεί σε αναπτυγμένο SKU.

Πλέγμα Εσωτερικών Συνδέσμων

Ένας αναγνώστης που θέλει να αποκτήσει πλήρη εικόνα της στάσης ασφαλείας μας θα πρέπει επίσης να εξετάσει:

• TC-148 — Επίθεση στην Αλυσίδα Εφοδιασμού και SBOM — όπου συμβαίνει η αντιστοίχιση CVE
• TC-146 — Ενίσχυση έναντι Επιθέσεων Εγχυτήρα Σφαλμάτων και Glitch Attack — επιθέσεις σε επίπεδο υλικού που μπορούν να παρακάμψουν τις ενημερώσεις λογισμικού
• TC-147 — Απενεργοποίηση JTAG και Κλείδωμα Διεπαφής Debug — το επίπεδο συσκευής που καθιστά τις ενημερώσεις αξιόπιστες
• Στυλό Ανάγνωσης Y6 AI Tutor — το SKU με τη μεγαλύτερη επιφάνεια επίθεσης· η διαδικασία CVE δοκιμάζεται περισσότερο εδώ
• Κλάδος: Απόρρητο Δεδομένων K12 — ειδοποίηση παραβίασης ευθυγραμμισμένη με FERPA που διασταυρώνεται με την επικοινωνία CVE
• Εφαρμογή: Ανάπτυξη σε Δημόσια Σχολική Περιφέρεια — λειτουργικές πραγματικότητες ενός στόλου 50.000 συσκευών

Συχνές Ερωτήσεις για τις Επιδιορθώσεις CVE των Reading Pen

{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "Πόσο γρήγορα επιδιορθώνει η SmartReadingPen ένα κρίσιμο CVE στο reading pen K7;",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Τα κρίσιμα CVE με ενεργές εκμεταλλεύσεις (καταχωρημένα στο CISA KEV) στοχεύουν SLA έκδοσης επιδιόρθωσης 72 ωρών. Ο διάμεσος χρόνος-για-επιδιόρθωση για κρίσιμα CVE το 2025 είναι 9 ημέρες end-to-end συμπεριλαμβανομένης της πλήρους ανάπτυξης OTA, αλλά το ίδιο το artifact της επιδιόρθωσης συνήθως υπογράφεται εντός 72 ωρών και προετοιμάζεται για ανάπτυξη canary."
      }
    },
    {
      "@type": "Question",
      "name": "Θα διακόψει μια επιδιόρθωση CVE τις συνεδρίες ανάγνωσης ή θα καταστήσει άχρηστες τις συσκευές στο πεδίο;",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Όχι. Ο σχεδιασμός firmware διπλής τράπεζας A/B μάς επιτρέπει να προετοιμάζουμε ενημερώσεις χωρίς διακοπή της ενεργής χρήσης. Η νέα εικόνα εγγράφεται στην ανενεργή τράπεζα, επαληθεύεται η υπογραφή της, και η μετάβαση στη νέα τράπεζα γίνεται μόνο κατά την επόμενη καθαρή επανεκκίνηση. Εάν η νέα εικόνα αποτύχει να εκκινήσει 3 φορές, ο bootloader επανέρχεται αυτόματα στην προηγούμενη γνωστή καλή εικόνα."
      }
    },
    {
      "@type": "Question",
      "name": "Γνωστοποιεί η SmartReadingPen τα CVE στο κοινό;",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Ναι. Η πολιτική γνωστοποίησής μας δεσμεύεται να δημοσιεύει μια καταχώρηση CVE στο /security/cve/{year}/{id}.html εντός 25 ημερών από την ευρεία ανάπτυξη OTA. Ερευνητές που αναφέρουν έγκυρα ζητήματα αναγνωρίζονται στην ετήσια έκθεση διαφάνειάς μας, εκτός εάν ζητήσουν ανωνυμία."
      }
    },
    {
      "@type": "Question",
      "name": "Πώς αλληλεπιδρά το SBOM feed με τις ειδοποιήσεις CVE;",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Κάθε αποστελλόμενο SKU δημοσιεύει ένα SBOM feed στο /sbom/{sku}/feed.json. Οι αγοραστές μπορούν να τροφοδοτήσουν αυτό το feed σε dependency-track, GUAC ή παρόμοια εργαλεία διαχείρισης SBOM. Όταν ένα νέο CVE αντιστοιχεί σε συστατικό αναπτυγμένου SKU, το σύστημα ειδοποιεί αυτόματα την ομάδα ασφαλείας του αγοραστή με τις επηρεαζόμενες εκδόσεις firmware και την κατάσταση επιδιόρθωσης."
      }
    },
    {
      "@type": "Question",
      "name": "Τι συμβαίνει σε συσκευές που είναι εκτός εγγύησης ή στο τέλος του κύκλου ζωής τους;",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Δεσμευόμαστε για 5 έτη υποστήριξης επιδιορθώσεων ασφαλείας από την ημερομηνία γενικής διαθεσιμότητας του SKU. Για SKU στο τέλος του κύκλου ζωής τους δημοσιεύουμε μια τελική έκδοση firmware με όλα τα γνωστά CVE επιδιορθωμένα και συνιστούμε την απόσυρση του στόλου. Η δέσμευση 5 ετών κατοχυρώνεται στην κύρια συμφωνία υπηρεσιών μας και ευθυγραμμίζεται με τις απαιτήσεις του EU Cyber Resilience Act."
      }
    },
    {
      "@type": "Question",
      "name": "Μπορεί μια σχολική περιφέρεια να εγγραφεί σε ειδοποιήσεις CVE πριν από τη δημόσια γνωστοποίηση;",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Ναι. Οι πελάτες με συμβόλαιο συντήρησης λαμβάνουν ειδοποιήσεις CVE 7 ημέρες πριν από τη δημόσια ανάπτυξη OTA και λαμβάνουν το υπογεγραμμένο artifact επιδιόρθωσης υπό MNDA για εσωτερική προετοιμασία. Στείλτε email στο [email protected] για να εγγράψετε την περιφέρειά σας στο πρόγραμμα συμβολαίων συντήρησης."
      }
    }
  ]
}

Σχετικό Διάβασμα

• TC-148: Επίθεση στην Αλυσίδα Εφοδιασμού Reading Pen και SBOM
• TC-146: Ενίσχυση Ανθεκτικότητας Στυλό Ανάγνωσης έναντι Επιθέσεων Εγχύσης Σφαλμάτων και Glitch
• TC-147: Απενεργοποίηση JTAG και Κλείδωμα Διεπαφής Debug σε Reading Pen
• Στυλό Ανάγνωσης Y6 AI Tutor με 4G
• Ιδιωτικότητα Δεδομένων Στυλό Ανάγνωσης για K12: FERPA, COPPA, GDPR-K
• Ανάπτυξη Reading Pen σε Δημόσιες Σχολικές Περιφέρειες

CTA Προμηθειών

Εάν είστε σχολική περιφέρεια, υπουργείο παιδείας ή μεγάλος B2B αγοραστής που χρειάζεται ορατότητα στη διαδικασία διαχείρισης ευπαθειών πίσω από τον στόλο των reading pen σας, μπορούμε να μοιραστούμε την πλήρη Πολιτική Γνωστοποίησης Ευπαθειών μας και τον πίνακα SLA υπό MNDA εντός 24 ωρών. Στείλτε email στο [email protected] ή επισκεφθείτε τη σελίδα επικοινωνίας για να λάβετε το πακέτο, το οποίο περιλαμβάνει το PDF της πολιτικής, την τρέχουσα σύνοψη του backlog CVE, το πρότυπο ειδοποίησης πελατών και τον οδηγό ενσωμάτωσης για τα dependency-track και GUAC.

Θέλετε βαθύτερη αξιολόγηση; Διοργανώνουμε τριμηνιαίες αναθεωρήσεις αρχιτεκτονικής ασφαλείας στο κέντρο μηχανικής μας στο Shenzhen — μια 2ημερη συνεδρία που καλύπτει τη γραμμή παραγωγής firmware, το OTA backend, την αλυσίδα εποπτείας HSM και το ιστορικό εφαρμογής ενημερώσεων των τελευταίων 12 μηνών. Προγραμματίστε μια αναθεώρηση ασφαλείας με τον Chief Security Officer και 4 senior μηχανικούς firmware. Οι θέσεις περιορίζονται σε 6 εκπροσώπους αγοραστών ανά συνεδρία.

Κάλυψη SKU και Εμπορικοί Όροι

Ο κύκλος εργασιών ενημερώσεων CVE καλύπτει και τα 11 SKU: B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6. Τα premium Q8 (firmware 3.3.1), T2 (firmware 2.6.4, 14-ωρη κυψέλη Li-ion 18650 2.500 mAh) και Y6 (firmware 2.6.4, 4G fallback) λαμβάνουν 7 χρόνια υποστήριξης ενημερώσεων από τη γενική διαθεσιμότητα· μεσαίας κατηγορίας F8, K7, Q6, L5 λαμβάνουν 5 χρόνια· entry-level B1, B2, KF1, P2 λαμβάνουν 3 χρόνια. Το ποσοστό επιτυχίας OTA ενημερώσεων σε ολόκληρο τον στόλο είναι 99,4% σε 47.000+ μονάδες που έχουν αποσταλεί σε 47 χώρες, με υιοθέτηση ενημερώσεων 91,4% εντός 60 ημερών. Το reading pen ταξινομείται με κωδικό HS 8543.70 ως αυτόνομο ή 9503.00 σε συσκευασία με παιχνίδι· 18 ενεργές πιστοποιήσεις καλύπτουν όλους τους προορισμούς — CE υπό RED/EMC/LVD, FCC, UKCA, EN 71-1/2/3, ASTM F963, CPSIA, RoHS, REACH, PSE, KC, GCC/SFDA, SNI, NOM, INMETRO, RCM, ISED, UN38.3, IEC 62133. Ζώνη τιμών EXW Shenzhen: Q8 στα $14,20 MOQ 1.000· T2 στα $14,50 MOQ 500· Y6 στα $13,80 MOQ 500· K7 $9,40· F8 $8,90· L5 $10,50· KF1 $7,20· Q6 $7,80· B1 $4,20· B2 $4,80· P2 $3,80. Οι εμπορικοί όροι είναι EXW, FOB, CIF, DDP, DAP. Η πληρωμή γίνεται με T/T 30/70 με έκπτωση πρόωρης πληρωμής 2,4% όταν το υπόλοιπο εξοφλείται εντός 14 ημερών, L/C at sight για νέους αγοραστές άνω των $50.000, OA για εδραιωμένους λογαριασμούς, PayPal για δείγματα. Το MOQ για ιδιωτική μήτρα και ετικέτα είναι 3.000 έως 5.000 μονάδες με κόστος εργαλείων $4.000 έως $28.000 ανά σετ μήτρας.

Συχνές Ερωτήσεις για τις Εργασίες Ενημερώσεων CVE