Lukukynä ja palautumisen esto sekä version varmennus: Miksi kloonattu kynä ei saa käynnistää vanhempaa laiteohjelmistoa

Kohdeyleisö: Tämä artikkeli on kirjoitettu OEM/ODM-ohjelmajohtajille, brändin omistajille, jotka ovat huolissaan DRM:n heikkenemisestä, sekä koulujen hankintaorganisaatioiden compliance-vastaaville, jotka tarvitsevat selkeän vastauksen yhteen kysymykseen: "jos kilpailija ottaa kynän hyllyltämme ja ohjelmoi siihen uudelleen vanhemman laiteohjelmiston, voiko hän palauttaa DRM-vapaan OID-kirjaston?". Käymme läpi yksisuuntaisen laskurin, eFuse-asettelun, versiotodennuksen kättelyn ja kenttädebug-virran jokaiselle Smart Reading Pen -malliston 11 SKU:lle (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6).

Anti-rollback on tylsältä kuulostava tietoturvaominaisuus, josta lukukynäohjelma ei voi tulla toimeen ilman. DRM-järjestelmä, joka suojaa OID-kirjaston AES-128-käärettä, on vain yhtä vahva kuin sen suojausavainta hallussaan pitävä laiteohjelmisto — ja jos laiteohjelmisto voidaan palauttaa versioon, joka ei tarkista kääreavainta, suojaus petää avoimeksi. Olemme toimittaneet yli 47 000 kynää, ja olemme nähneet kolmen reverse engineering -yrityksen epäonnistuvan juuri siksi, että pysäytimme ne ennen kuin ne pääsivät versioon, jossa on pienempi yksisuuntainen laskuri.

Ostajan vinkki: Kysy toimittajalta kaksi kysymystä: "mikä on korkein yksisuuntainen laskurinne tuotannossa olevalla kynällä?" ja "voitteko kumota laskurin ja pakottaa koko laivastolle todennuksen?". Toimittaja, jonka laskuri on yli 1 000 tuotantolaitteistossa, toimittaa oikeita laiteohjelmistopäivityksiä; alle 200 tarkoittaa, ettei niitä toimiteta.

1. Kolme uhkaa, joilta anti-rollback suojaa

Anti-rollback ei ole yksittäinen ominaisuus. Se on yhdistetty puolustus kolmea hyökkäysluokkaa vastaan, joista jokaisen B2B-ostajan tulisi olla huolissaan.

1. Jäljentäminen: Kilpailija avaa kynän, juottaa flash-muistin irti, dumppaa laiteohjelmiston ja ohjelmoi väärennöserän. Anti-rollback nappaa heidät kiinni seuraavassa todennuksessa.
2. Kiistäminen: OEM-osapuoli väittää: "tämä kynä toimitettiin vanhalla laiteohjelmistolla, emme ole vastuussa". Yksisuuntainen laskuri on tarkastusketju, joka sitoo laiteohjelmiston päivämäärään.
3. Taantuminen: Jakelija löytää vanhan version, joka ei toteuta OID-käärettä. He patchaavat version takaisin omaan laivastoonsa. Anti-rollback nappaa heidät kiinni seuraavassa käynnistyksessä.

Käsittelemme kaikkia kolmea teknisen tiimin vastuualueena. Laskuri- ja todennuslohkot on mitoitettu sen mukaisesti.

2. Yksisuuntainen laskuri SKU:ittain

Yksisuuntainen laskuri sijaitsee fyysisesti eri paikassa alustasta riippuen. Jokaisella SKU:lla on vähintään yksi laskuri; useimmilla on kaksi (yksi laiteohjelmistolle, yksi OID-sanakirjaversiolle).

Cortex-M4F -piirin eFuse-rivit ovat kertapolttoisia. Kun rivi on poltettu, laskuria ei voi palauttaa. 32 bittiä kahdeksassa 4 bitin pankissa tarjoaa teoreettisen 2^32 lisäysbudjetin, joka riittää mainiosti yksittäisen SKU:n elinkaareksi.

Cortex-M33- ja Cortex-A53-malleissa yhdistyvät paristovarmennettu NVM-laskuri (5 vuoden paristopi­to) sekä eFuse-rivi. NVM-laskuri hoitaa rutiininomaiset versiopäivitykset; eFuse-rivi on varattu hätätilanteiden varmennuspäivityksiä varten. T2- ja Y6-mallien kolmoispunktredundanttinen laskuri on korkein taso ja vaaditaan Pattern A -OEM-ohjelmissa, joissa halutaan mahdollisimman vahva kiistämättömyysketju.

3. Version varmennus ensimmäisellä käynnistyksellä

Version varmennus on kättely, jolla kynä todistaa pilvelle tai huoltojigille, että siinä pyörii vähintään määritetyn vähimmäisversion mukainen firmware. Protokolla on sama jokaisessa SKU:ssa, mutta salausprimitiivi vaihtelee.

Min_fw_version säilytetään NVM-muistissa ja sen allekirjoittaa OEM-välivarmentaja. OTA-paketti voi nostaa sitä, mutta ei koskaan laskea. Kynä vertaa arvoa jokaisella käynnistyksellä. Vertailu käyttää SE:n laitteistokomparaattoria, joten vaikka pääsuoritin olisi vaarantunut, käynnistys keskeytyy.

4. Kenttätilastot: kuinka usein kynät estetään?

Vuonna 2025–26 yli 47 000 käytössä olleen kynän otannassa rollback-havaitsemisjärjestelmä tunnisti seuraavat yritykset.

Neljä varmistettua piraattilaboratorion yritystä havaittiin kentällä 30 päivän sisällä; kaikki neljä koskivat kyniä, joista SE oli fyysisesti irrotettu ja vaihdettu. Koska sidomme laitteen identiteettiava­imen SE-tunnukseen, piraattikynä ei kyennyt suorittamaan OTA-kättelyä loppuun ja ohjautui mustaan aukkoon.

5. Laskurin kasvatusrytmi

Laskuri nousee jokaisen julkaistun laiteohjelmistoversion myötä. Rytmi tuotelinjoittain:

T2 on kaikkein aggressiivisimmin päivitettävä linja; tämä on tietoinen valinta, sillä T2 sisältää korkeimman yksikkökohtaisen DRM-arvon (uusi premium-OID-kirjasto). Y6 päivitetään varovaisemmin, koska se on asemoitu vakaaksi työjuhdaksi koulupiireille, jotka eivät halua kuukausittaisia muutoksia.

6. Hätäpalautuksen pakotettu mitätöinti

On yksi tilanne, jossa haluamme pakottaa koko laitekannan korkeampaan laskuriin. Tämä tapahtuu, kun kentällä havaitaan todellinen ongelma ja jokaisen kynän on suoritettava uudelleentodennus tuoreella vähimmäisversiolla. Menettely on identtinen jokaisella SKU:lla.

1. Luo uusi laiteohjelmistokuva, jossa on min_fw_version = current + 10.
2. Allekirjoita kuva tehtaan HSM:llä.
3. Työnnä kuva OTA:n kautta, merkitty "EMERGENCY"-lipukkeella.
4. Seuraavalla onnistuneella käynnistyksellä laskuritarkistus nousee uuteen arvoon ja kynä jatkaa toimintaansa.
5. Kynät, jotka eivät vastaanota OTA-päivitystä 30 päivän kuluessa, merkitään OEM-valmistajan pilvihallintapaneeliin.

Matalin tapahtuma (Q2-26, 95,6 %) oli Brasilian ministeriön käyttöönotto, jossa 4,4 % kynistä oli ollut offline-tilassa yli 30 päivää. OEM-valmistajan koulupiiripäällikkö keräsi kyseiset kynät ja suoritti pöytätelakka-OTA-päivitykset erissä.

7. OEM-ohjelmat ja laskurin hallinta

OEM Pattern A -ohjelmissa (vain T2 ja Y6) laskuria kasvattaa OEM-valmistajan allekirjoitus-HSM. OTA-payloadin muodostaa maahantuojan allekirjoitustyökalu. OEM Pattern B -mallissa tehtaan HSM omistaa laskurin, ja maahantuoja voi pyytää laskurin korotusta vain tukipyynnön kautta.

Pattern A on tietoturvaltaan paras mutta operatiivisesti raskain. Laskurin korotus vaatii kaksi OEM-puolen allekirjoitusta, mikä maksaa 8 ms Thales Luna T-7 -laitteella. Pattern B on yksikkötasolla ilmainen, mutta tarkoittaa, ettei maahantuoja voi yksipuolisesti korottaa laskuria toimitusketjuhäiriön aikana.

OEM-ostajille ehdottamamme päätöksen nyrkkisääntö: valitse Pattern A vain, jos ohjelmasi toimitusmäärä ylittää 50 000 kynää vuodessa tai tarjouspyynnöt edellyttävät nimenomaisesti sisäistä laskurin hallintaa. Sen alapuolella Pattern B tarjoaa samat puolustettavat anti-rollback-ominaisuudet ilman lisäoperatiivisia kustannuksia.

8. Uudelleenohjelmointi laskurin eston jälkeen

Kun kynä estetään anti-rollback-tarkistuksessa, ainoa paluupolku on tehdalla suoritettu uudelleenflashays kertaluonteisella huoltotunnuksella. Tunnuksen luo OEM-tukitiimi, sen allekirjoittaa tehtaan HSM, se on voimassa 30 päivää ja poltetaan käytön jälkeen. Kustannus: 1,20 $ per tunnus suuressa mittakaavassa (turvapiirin poltto on pullonkaula), manuaalinen työ 4,50 $.

Yli 47 000 toimitetun kynän kohdalla estotapahtumien keskimääräinen vuositaso on 0,21 %; tämä tarkoittaa noin 100 toimitettua tunnusta. Budjetoimme 200 tunnusta vuodessa 50 000 kynälle; vaihtelu kerätään katteeseemme.

9. Yhteenveto jälleenmyyjille ja tarjouskilpailuihin

Anti-rollback on se, mikä muuttaa DRM-järjestelmän "paperilta" "todella valvotuksi". Monotoninen laskuri, OTA-korotusmekanismi ja kenttävian jäädytys ovat ainoa este laillisen OEM-tarjouksen ja väärennöstehtaan välillä. 11 SKU:n osalta ylläpidämme laskuria kolmessa redundanttisessa teknologiassa (SE NVM, eFuse-rivi, RTC-peili T2/Y6-malleissa) neljännesvuosittaisilla auditoinneilla.

Pyydä tarjous — saat nopean tehdaskohtaisen vastauksen

CTA

Aiheeseen liittyvää luettavaa

• Lukukynän laiteohjelmiston salaus ja suojattu käynnistys
• Lukukynän BIOS-käynnistysvirta ja luotettu käynnistys
• Lukukynän OTA-palautus ja versioiden kiinnitys
• Lukukynän salaus ja TrustZone
• Lukukynän suojattu elementti ja peukaloinnin esto
• Lukukynän avainten hallinta ja HSM
• Pyydä tarjous

Lopullinen toimintakehotus