Lukukynän CVE-korjaus­elinkaari ja haavoittuvuuksien julkistaminen: NVD-tiedoista OTA-jakeluun 21 päivässä

Kohderyhmä

Tämä artikkeli on tarkoitettu IT-tietoturvajohtajille, kuntien opetustoimen CIO:ille, OEM-hankintapäälliköille ja vaatimustenmukaisuusvastaaville, joiden on ymmärrettävä modernin kiinalaisen lukulaitteen koko CVE-käsittelyketju. Artikkeli selittää, miten ODM-tiimimme ottaa vastaan haavoittuvuustietoa, sovittaa sen laiteohjelmiston komponentteihin, julkaisee korjaukset ja toimittaa ne käytössä oleviin K7-, F8-, B2-, Y6-, Q8- ja L5-laitteisiin ilman luokkahuonehäiriöitä. Lukijalta odotetaan perustuntemusta NVD:stä, GitHub Security Advisories -tiedoista ja OTA-päivityskäsitteistä, mutta ei erityistä incident response -osaamista.

50 000 yksikön kouluhallintoalueen käyttöönotto on stressitesti mille tahansa päivitysputkelle. Kesken oppitunnin saapuvat korjaukset keskeyttävät lukutuokiot, hämmentävät 7-vuotiaita ja tuottavat kello kahdeksan aamupuheluita käyttötukeen. Pahempaa on, että huonosti vaiheistettu OTA voi jättää laitteet käyttökelvottomiksi latausvaunuun yön ajaksi. Lukulaitteen CVE-korjauselinkaaren on oltava sekä nopea (sillä CVEt liikkuvat internetin vauhdilla) että hellävarainen (sillä lapset ovat loppukäyttäjiä). Tässä artikkelissa käydään läpi prosessi, jonka olemme hiouttaneet 9 K7:n tuotantoversiosukupolven ja 4 F8- ja Y6-sukupolven aikana.

CVE-elinkaaren neljä vaihetta

Jäsentelemme työn neljään vaiheeseen, joista jokaisella on määritelty SLA ja vastuuhenkilö:

Haavoittuvuus, jonka CVSS 3.1 -pistemäärä on ≥7,0 ja jolla on julkinen hyväksikäyttö (CISA KEV -listalla), nostetaan 72 tunnin korjaustavoitteeseen. Keskitason CVE ilman hyväksikäyttöä kulkee seuraavassa neljännesvuosittaisessa julkaisussa.

Vaihe 1: Päivittäinen haavoittuvuuksien sisäänotto

Joka aamu klo 04:00 UTC cron-työ tietoturvaor Parque -palvelimellamme hakee tiedot kahdeksasta syötteestä:

• NVD CVE JSON 2.0 -syöte — ensisijainen CVE-lähde, keskimäärin ~280 uutta CVE:tä päivässä
• GitHub Security Advisories (GHSA) — usein NVD:tä edellä avoimen lähdekoodin pakettien osalta
• OSV.dev — yhteisön ylläpitämä, sisältää purl-avaimistetut merkinnät suoraa SBOM-sovitusta varten
• CISA Known Exploited Vulnerabilities (KEV) — luokitus hyväksikäytöstä luonnossa
• CERT/CC vulnerability notes — monitoimittajakoordinoidut paljastukset
• Alpine-, Debian- ja Buildroot-tietoturvasyötteet — jakelujen hyväksymät todistepäivitykset
• Toimittajien PSIRT-syötteet — Allwinner, Rockchip, Realtek, Goodix, Bestechnic
• Sisäiset pentest-havainnot — puolivuosittaiset ulkoisen red team -tiimin raportit

Sisäänoton kapasiteetti on noin 280–350 CVE:tä päivässä, joista noin 35–50 vastaa aktiivisen SBOM:imme komponentteja. Sovituslogiikka käyttää CPE 2.3:a, purl-tunnusta sekä paketin nimen ja version yhdistelmää tässä prioriteettijärjestyksessä.

Vaihe 2: Triagointityönkulku ja SLAt

Sovitettu CVE osoitetaan tietoturvainsinöörille 4 tunnin kuluessa. Insinööri tuottaa triagointitietueen, joka sisältää:

1. Vaikutuksen kohteena olevat SKU:t — mitkä valikoimamme 11 mallista (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6) sisältävät haavoittuvan komponentin
2. Vaikutuksen kohteena olevat laiteohjelmistoversiot — tarkka v3.x- tai v4.x-alue
3. Hyväksikäytettävyysarvio — onko CVE saavutettavissa laitteen verkkoliittymistä?
4. Käytössä oleva lievennys — SELinux-käytäntö, palomuurisääntö tai poistettu ominaisuuslippu, jotka voivat jo estää hyväksikäyttöpolun
5. Korjauksen monimutkaisuus — muutettujen koodirivien määrä, regressioriski, testauspinta-ala

Triagoinnin SLA on 24 tuntia kriittisille, 72 tuntia korkeille ja 5 päivää keskitason CVE:ille. Mittaamme ja julkaisemme mediaanisen triagointiaikamme julkisella hallintapaneelilla — tällä hetkellä 11 tuntia kriittisille CVE:ille.

CVSS-pisteytys ja mukautettu vakavuusaste

Käytämme CVSS 3.1:tä peruspisteenä, mutta sovellamme sisäistä "mukautettua vakavuusastetta", joka heijastaa lukulaitteen todellista käyttöympäristöä:

• Verkko-CVEt saavat +0,5 muutoksen, koska useimmat lukukynät ovat koulujen tai kotien Wi-Fi-verkoissa NAT:n takana
• Paikalliset CVEt jotka vaativat fyysistä USB-pääsyä, saavat -1,0 muutoksen
• Kryptografiset CVEt jotka vaikuttavat vanhentuneisiin salauspaketteihin, jotka on jo poistettu käytöstä rakennelmassamme, saavat -1,5 muutoksen
• CVEt jotka vaativat käyttäjän toimia (tietojenkalastelu) saavat -0,5 muutoksen, koska loppukäyttäjät ovat lapsia, jotka eivät klikkaa linkkejä

CVE, jonka peruspisteet ovat 8,1, voi päätyä mukautettuna arvoon 6,5, kun taas 6,8 peruspisteen CVE, joka on aktiivisella KEV-hyväksikäyttölistalla, pysyy mukautettuna arvona 7,5+ aktiivisen KEV-lisän ansiosta.

Vaihe 3: Korjauksen kehittäminen ja testaus

Kun korjaus on hyväksytty, laiteohjelmistotiimi haarakopioi hotfix-haaran viimeisimmästä tuotantotagista. Korjauksen on läpäistävä neljä porttia ennen kuin se allekirjoitetaan OTA-jakelua varten.

Portti 1: Staattinen analyysi

Coverity Scan 2024.03 ja CodeQL 2.16.3 ajetaan jokaiselle korjaukselle. Uusi "korkean" vaikutuksen varoitus estää korjauksen. Olemassa olevat varoitukset on korjattava 90 päivän kuluessa, muuten korjaus pidätetään.

Portti 2: Yksikkö- ja integraatiotestit

Laiteohjelmistotestiautomaatiossamme on yli 14 200 yksikkötestiä, jotka kattavat ASR-moottorin, TTS-putken, Bluetooth-pinon, Wi-Fi-hallinnan, OCR-kerroksen ja päivityshallinnan. Korjauksen on saavutettava 100 %:n läpäisyaaste. Kattavuuden alaraja on 78 % rivejä / 71 % haaroja; korjaukset, jotka laskevat kattavuutta, hylätään.

Portti 3: 48 tunnin liotintesti

Korjattua laiteohjelmistoa ajetaan 240 vertailuyksiköllä (20 kutakin aktiivista mallia laboratoriossamme) 48 tuntia simuloidun käytön alaisena. Seurattavat mittarit:

• Herätyssanan väärän hyväksynnän määrä (tavoite: <0,3 tunnissa)
• ASR:n sanavirheprosentti (tavoite: <5,2 % TIMIT-lapsi-osajoukossa)
• Akun kulutus (tavoite: <2,1 % tunnissa valmiustilassa)
• Päivityksen luotettavuus (tavoite: 100 %:n onnistuminen kaksipankkisessa A/B-vikasietoisuudessa)
• Lämpötila (tavoite: pinta <41,2 °C 30 °C ympäristössä)

Mikä tahansa regressio missä tahansa mittarissa estää korjauksen ja palauttaa sen kehityshaaraan.

Portti 4: Turvallisuusregressiotesti

Koko CVE-regressiopaketti ajetaan uudelleen varmistamaan, että korjaus todella sulkee haavoittuvuuden eikä aiheuta uutta. Ylläpidämme yli 1 200:n reproduktoritestitapauden kokoelmaa CVE:ille vuodesta 2018 lähtien. Uusi korjaus ei saa regressoida mitään suljettua CVE:tä.

Vaihe 4: Monivaiheinen OTA-jakelu

Kun korjaus läpäisee kaikki neljä porttia, se siirtyy OTA-vaiheistuskanavalle. Kentällä olevat lukukynät tarkistavat päivitykset 6 tunnin välein Wi-Fi-verkossa ja 24 tunnin välein matkapuhelinverkossa (vain Y6-alusta). Jakelukäyrä noudattaa 4-vaiheista nousua:

Kaanarilaivue koostuu 480 laitteesta, jotka ovat jakautuneet 12 yhteistyökouluun maantieteellisesti tasapainotettuna Pohjois-Amerikkaan, EU:hun ja APAC-alueelle. Vikaantumisaste mitataan kaavalla (lukkiintuneet laitteet + käynnistyssilmukkaan jääneet laitteet + kriittiset toiminnallisuuden regressioilmoitukset) / kohortin kokonaislaitemäärä.

Pysäytetty jakelu tutkitaan 4 tunnin kuluessa. Jos ongelma on toistettavissa laboratoriolaitteistolla, laiteohjelmisto vedetään pois ja uusi korjaussykli aloitetaan. Jos ongelma on laivuekohtainen (esim. piirikunnan captive-portti estää OTA-päätepisteen), jakelu jatkuu piirikunnille, joihin se ei vaikuta.

A/B-kaksipankkinen vikasietoisuus

Jokainen K7-, F8- ja Y6-laite käyttää kaksipankkista SPI NOR -flash-muistia (32 Mt tai 64 Mt yhteensä, 16/32 Mt pankkia kohden). Päivitys kirjoittaa uuden kuvan ei-aktiiviseen pankkiin, tarkistaa sen ECDSA-P256-allekirjoituksen ja vaihtaa sitten käynnistyslataimen lipun osoittamaan uuteen pankkiin seuraavassa uudelleenkäynnistyksessä. Jos uusi kuva epäonnistuu käynnistyksessä 3 peräkkäistä kertaa, käynnistyslatain palaa automaattisesti edelliseen pankkiin.

Tämä A/B-rakenne tarjoaa palautuspolun ilman huoltoautoa. Huono korjaus ei voi lukita laivuetta – pahimmillaan se maksaa yhden uudelleenkäynnistyskerran.

Asiakastiedotuksen palvelutasot

Julkaisemme haavoittuvuuksien julkistuskäytännön osoitteessa /security/disclosure.html ja ilmoita asiakkaille seuraavan aikataulun mukaisesti:

Ilmoitussähköpostit sisältävät: CVE-tunnuksen, CVSS-perus- ja muokatun pisteet, vaikutuksen alaiset SKU-tunnisteet ja laiteohjelmistoversioalueen, lievennystilan, odotetun korjauspäivämäärän sekä yhteystiedon allekirjoitetun korjaustiedoston saamiseksi ennen julkista julkaisua MNDA:n alla.

Ostajat, joilla on aktiivinen huoltosopimus (tällä hetkellä 84 % K7-toimituksistamme), saavat korjaustiedoston 7 päivää ennen julkista OTA-jakelua, jotta he voivat valmistella sisäisen validoinnin.

Koordinoitu vastuullinen paljastaminen tutkijoiden kanssa

Otamme vastaan haavoittuvuusraportteja osoitteessa [email protected] ja HackerOne-ohjelmamme kautta (smartreadingpen ohjelmatunnus #H1-SRP-2023). Tutkijoiden raportit kuitataan 24 tunnin kuluessa ja luokitellaan 72 tunnin kuluessa. Sitoudumme seuraavaan:

• Vahvistamme tai kumomme raportin 14 päivän kuluessa
• Kehitämme korjauksen 90 päivän kuluessa korkean/kriittisen osalta, tai dokumentoimme pidemmän aikataulun
• Annamme tutkijalle tunnustuksen vuotuisessa avoimuusraportissamme, ellei hän pyydä nimettömyyttä
• Emme ryhdy oikeudellisiin toimiin tutkijoita vastaan, jotka toimivat hyvässä uskossa politiikkamme mukaisesti

Vuoden 2024 avoimuusraportti dokumentoi 14 ulkoisten tutkijoiden toimittamaa validia raporttia, ja korkean vakavuuden ongelmien keskimääräinen korjausaika oli 41 päivää. Suurin yksittäinen maksettu palkkio oli 4 800 dollaria F8-alustalla havaitusta Bluetooth-pariliitoskierroksesta.

Paljastamisen aikajana todellisessa tapauksessa

Havainnollistaaksemme, tässä on todellinen aikajana vuoden 2025 tapauksesta, joka koskee hypoteettista Wi-Fi CVE:tä (W-2):

End-to-end: 25 päivää NVD-julkaisusta 100 %:n käyttöönottoon. Mediaani vuonna 2024: 28 päivää.

Mittarit, joita seuraamme ja julkaisemme

Tuotetietoturvan hallintapaneeli osoitteessa /security/metrics.html näyttää:

• Keskimääräinen triage-aika (MTTT) — mediaani 11 tuntia kriittisille CVE:ille
• Keskimääräinen korjausaika (MTTP) — mediaani 9 päivää kriittisille, 19 päivää korkean tason haavoittuvuuksille
• Korjausten käyttöönottoaste — 91,4 % K7-laitekannasta ajantasaisella laiteohjelmistolla 60 päivän kuluessa
• CVE-jäljellä olevat kohteet — tällä hetkellä 4 keskitason CVE:tä odottamassa seuraavaa vuosineljannesjulkaisua
• Toistettavan rakennusprosessin vastaavuusaste — 100 % malleissa K7, F8, Y6
• Asiakkaiden kanssa pidetyt SLA-sopimukset — 96,7 % kriittisistä ilmoituksista 24 tunnin sisällä

SBOM-syötteemme integraatiota tekevät ostajat (ks. TC-148) voivat tilata VEX-ilmoitukset osoitteesta /vex/feed.json ja saada heidän dependency-track- tai GUAC-instanssinsa hälyttämään automaattisesti, kun uusi CVE vastaa käytössä olevaa SKU:ta.

Sisäinen linkkiverkosto

Lukijan, joka rakentaa kokonaiskuvaa tietoturva-asemastamme, kannattaa tarkastella myös:

• TC-148 — Toimitusketjuhyökkäys ja SBOM — missä CVE-vastaavuus tapahtuu
• TC-146 — Viansyötön ja glitch-hyökkäyksen koventaminen — fyysisen kerroksen hyökkäyksiä, jotka voivat ohittaa ohjelmistokorjaukset
• TC-147 — JTAGin poisto käytöstä ja debug-liittymän lukitus — laitetaso, joka tekee korjauksista luotettavia
• Y6 AI-oppimiskynä — hyökkäyspinta-alaltaan suurin SKU; CVE-prosessi rasittuu täällä eniten
• Toimiala: K12-tietosuoja — FERPA-yhteensopiva tietomurtoilmoitus, joka liittyy CVE-viestintään
• Sovellus: Julkisen koulupiirin käyttöönotto — 50 000 laitteen kaluston operatiivinen todellisuus

Lukukynän CVE-korjausten UKK

{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "Kuinka nopeasti SmartReadingPen korjaa kriittisen CVE:n K7-lukukynässä?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Aktiivisesti hyödynnettyjen kriittisten CVE:iden (CISA KEV -listattujen) korjausjulkaisun tavoiteaikataulu on 72 tuntia. Vuoden 2025 mediaani korjausaika kriittisille CVE:ille on 9 päivää end-to-end sisältäen täyden OTA-julkaisun, mutta itse korjausartifakti tyypillisesti allekirjoitetaan 72 tunnin sisällä ja valmistellaan kanariakäyttöönottoon."
      }
    },
    {
      "@type": "Question",
      "name": "Keskeyttääkö CVE-korjaus lukusessioita tai muuttaako se laitteita käyttökelvottomiksi kentällä?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Ei. Kaksipankkinen A/B-laiteohjelmistosuunnittelumme mahdollistaa päivitysten valmistelun keskeyttämättä aktiivista käyttöä. Uusi kuva kirjoitetaan passiiviseen pankkiin, sen allekirjoitus tarkistetaan, ja vaihto uuteen pankkiin tapahtuu vasta seuraavassa puhtaassa uudelleenkäynnistyksessä. Jos uusi kuva ei käynnisty 3 kertaa, bootloader palaa automaattisesti aiempaan tunnetusti toimivaan kuvaan."
      }
    },
    {
      "@type": "Question",
      "name": "Julkaiseeko SmartReadingPen CVE:t julkisesti?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Kyllä. Julkistamiskäytäntömme sitoutuu julkaisemaan CVE-merkinnän osoitteessa /security/cve/{year}/{id}.html 25 päivän kuluessa laajasta OTA-julkaisusta. Tutkijoita, jotka ilmoittavat valideista havainnoista, mainostetaan vuosittaisessa avoimuusraportissamme, elleivät he pyydä anonymiteettiä."
      }
    },
    {
      "@type": "Question",
      "name": "Miten SBOM-syöte on vuorovaikutuksessa CVE-ilmoitusten kanssa?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Jokainen toimitettu SKU julkaisee SBOM-syötteen osoitteessa /sbom/{sku}/feed.json. Ostajat voivat ladata tämän syötteen dependency-track-, GUAC- tai vastaaviin SBOM-hallintatyökaluihin. Kun uusi CVE vastaa käytössä olevan SKU:n komponenttia, järjestelmä hälyttää automaattisesti ostajan tietoturvatiimiä kärsineistä laiteohjelmistoversioista ja korjaustilanteesta."
      }
    },
    {
      "@type": "Question",
      "name": "Mitä tapahtuu laitteille, jotka ovat takuun ulkopuolella tai elinkaarensa päässä?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Tarjoamme 5 vuoden tietoturvakorjaustuen SKU:n yleisen saatavuuden alkamispäivästä. Elinkaarensa päähän tulleille SKU:ille julkaisemme lopullisen laiteohjelmistoversion, jossa kaikki tunnetut CVE:t on korjattu, ja suosittelemme kaluston poistamista käytöstä. 5 vuoden sitoumus on kodifioitu pääsopimukseemme ja se on EU:n kyberresilienssisäädöksen vaatimusten mukainen."
      }
    },
    {
      "@type": "Question",
      "name": "Voiko koulupiiri tilata CVE-hälytyksiä ennen julkista tiedottamista?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Kyllä. Huoltosopimusasiakkaat saavat CVE-ilmoitukset 7 päivää ennen julkista OTA-julkaisua ja saavat allekirjoitetun korjausartifaktin MNDA:n alaisena sisäistä käyttöönottoa varten. Lähetä sähköpostia osoitteeseen [email protected] liittääksesi piirisi huoltosopimusohjelmaan."
      }
    }
  ]
}

Liittyvää luettavaa

• TC-148: Lukukynän toimitusketjuhyökkäys ja SBOM
• TC-146: Lukukynän viansyötön ja glitch-hyökkäyksen koventaminen
• TC-147: Lukukynän JTAGin poisto käytöstä ja debug-liittymän lukitus
• Y6 AI-oppimiskynä 4G-yhteydellä
• Lukukynän tietosuoja K12:lle: FERPA, COPPA, GDPR-K
• Lukukynän käyttöönotto julkisissa koulupiireissä

Hankintakehotus

Jos olet koulupiiri, opetusministeriö tai suuri B2B-ostaja, joka tarvitsee näkyvyyttä lukukynäkalustonsa haavoittuvuuksien käsittelyprosessiin, voimme jakaa täydellisen haavoittuvuuksien julkistamiskäytäntömme ja SLA-taulukon MNDA:n alaisena 24 tunnin sisällä. Lähetä sähköpostia [email protected] tai vieraile yhteystietosivu vastaanottaaksesi paketin, joka sisältää politiikka-PDF:n, ajantasaisen CVE-jäljityslistan yhteenvedon, asiakastiedotuspohjan sekä dependency-track- ja GUAC-integrointioppaan.

Haluatko syvällisemmän tarkastelun? Järjestämme kvartaaleittain tietoturva-arkkitehtuurikatselmuksia Shenzhenin suunnittelukeskuksessamme — kahden päivän istunto kattaa laiteohjelmiston rakennusputken, OTA-taustajärjestelmän, HSM-säilytysketjun ja viimeisen 12 kuukauden korjausten jakeluhistorian. Varaa tietoturvakatselmus Chief Security Officerimme ja 4 senior-laiteohjelmistosuunnittelijan kanssa. Paikkoja on rajoitetusti 6 ostajan edustajaa per istunto.

SKU-kattavuus ja kauppaehdot

CVE-korjausten elinkaari kattaa kaikki 11 SKU:ta: B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6. Premium Q8 (laiteohjelmisto 3.3.1), T2 (laiteohjelmisto 2.6.4, 14 tunnin 2 500 mAh Li-ion 18650 -kenno) ja Y6 (laiteohjelmisto 2.6.4, 4G-varayhteys) saavat 7 vuoden korjaustuen yleisestä saatavuudesta lähtien; keskitaso F8, K7, Q6, L5 saavat 5 vuotta; perustaso B1, B2, KF1, P2 saavat 3 vuotta. Laivueen laajuinen OTA-päivitysten onnistumisprosentti on 99,4 % yli 47 000 toimitetun yksikön osalta 47 maahan, ja 91,4 % korjauksista on otettu käyttöön 60 päivän kuluessa. Lukukynä on HS-kooditeltu 8543.70 itsenäisenä tai 9503.00 leluun liitetyssä pakkauksessa; 18 aktiivista sertifikaattia kattavat kaikki kohdemarkkinat — CE RED/EMC/LVD:n mukaisesti, FCC, UKCA, EN 71-1/2/3, ASTM F963, CPSIA, RoHS, REACH, PSE, KC, GCC/SFDA, SNI, NOM, INMETRO, RCM, ISED, UN38.3, IEC 62133. EXW Shenzhen -hintahinta: Q8 14,20 $ MOQ 1 000; T2 14,50 $ MOQ 500; Y6 13,80 $ MOQ 500; K7 9,40 $; F8 8,90 $; L5 10,50 $; KF1 7,20 $; Q6 7,80 $; B1 4,20 $; B2 4,80 $; P2 3,80 $. Kauppaehdot ovat EXW, FOB, CIF, DDP, DAP. Maksuehto on T/T 30/70 ja 2,4 %:n ennakkohyvitys, kun loppuerä maksetaan 14 päivän kuluessa, L/C at sight ensimmäistä kertaa ostaville yli 50 000 $:n tilauksille, OA vakiintuneille asiakkaille, PayPal näytteille. Yksityisen muotin ja etiketin MOQ on 3 000–5 000 yksikköä ja työkalujen hinta 4 000–28 000 $ muottisarjaa kohden.

CVE-korjaustoimintojen UKK