रीडिंग पेन सप्लाई चेन अटैक और SBOM: OEM निर्माता सॉफ़्टवेयर बिल ऑफ़ मटेरियल्स के माध्यम से भरोसा कैसे बनाता हैं

दर्शक

यह लेख प्रोक्योरमेंट मैनेजरों, स्कूल डिस्ट्रिक्ट IT निदेशकों और सुरक्षा आर्किटेक्ट्स के लिए लिखा गया है जो ENISA, NIS2, या अमेरिकी K12 प्रोक्योरमेंट फ्रेमवर्क के तहत OEM रीडिंग पेन पार्टनर का मूल्यांकन कर रहे हैं। यह बताता है कि एक चीनी ODM बच्चों के वॉइस-सक्षम डिवाइस के लिए SBOM, फर्मवेयर प्रोवेनेंस, डिपेंडेंसी पिनिंग और हस्ताक्षरित आर्टिफैक्ट चेन का उपयोग करके सत्यापन योग्य सप्लाई-चेन पारदर्शिता कैसे बनाता है। यह फर्मवेयर डिलीवरी की बुनियादी समझ मानता है, लेकिन किसी विशेष साइबर सुरक्षा पृष्ठभूमि की अपेक्षा नहीं करता। आंतरिक संदर्भ JTAG लॉकडाउन, साइड-चैनल प्रतिरोध, CVE हैंडलिंग, सर्टिफिकेशन रोडमैप और छात्र डेटा गोपनीयता को कवर करते हैं।

हमारी शेन्ज़ेन ODM लाइन द्वारा निर्मित एक रीडिंग पेन में 14,000 से 21,000 व्यक्तिगत सॉफ़्टवेयर घटक होते हैं, जब आप हर ट्रांज़िटिव लाइब्रेरी, MCU HAL ड्राइवर, ब्लूटूथ स्टैक मॉड्यूल, Wi-Fi फर्मवेयर ब्लॉब, OCR इंजन, TTS वॉइस मॉडल और बूटलोडर को गिनते हैं। उस डिपेंडेंसी ग्राफ़ में कहीं भी एक समझौता किया गया पैकेज उस डिवाइस पर हस्ताक्षरित फर्मवेयर पहुंचा सकता है जो अंततः 7 साल के बच्चे के हाथ में पहुंचता है। 2021 Kaseya और 2024 xz-utils घटनाओं ने दिखाया कि यहां तक कि परिपक्व अपस्ट्रीम मेंटेनर भी बैकडोर शिप करते हैं। श्रेणी-3 के बच्चों की वॉइस डिवाइस के लिए, एकमात्र सुरक्षा सत्यापन योग्य प्रोवेनेंस है — और प्रोवेनेंस एक वास्तविक SBOM से शुरू होती है।

यह लेख बताता है कि हमारा OEM प्रोग्राम B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2 और Y6 रीडिंग पेन प्लेटफ़ॉर्म के लिए SBOM कैसे तैयार, हस्ताक्षरित, प्रकाशित और ऑडिट करता है, और एक खरीदार कैसे सत्यापित कर सकता है कि जो हम शिप करते हैं वही हमने बनाया है।

सॉफ़्टवेयर बिल ऑफ़ मटीरियल्स क्या है — और रीडिंग पेन के लिए यह क्यों मायने रखता है?

एक SBOM शिप किए गए आर्टिफैक्ट में हर सॉफ़्टवेयर घटक की मशीन-पठनीय सूची है। रीडिंग पेन के लिए, आर्टिफैक्ट वह फर्मवेयर इमेज है जिसे प्रोडक्शन लाइन 32 MB या 64 MB SPI NOR फ्लैश पर फ्लैश करती है। दो प्रमुख फ़ॉर्मेट हैं:

• SPDX 2.3 (ISO/IEC 5962:2024) — ISO-द्वारा अनुमोदित मानक जिसमें व्यापक एंटरप्राइज़ टूलिंग सपोर्ट है।
• CycloneDX 1.5 — OWASP-अनुरक्षित, हल्का, हार्डवेयर BOM (HBOM) और वल्नरेबिलिटी एक्सप्लॉइटेबिलिटी eXchange (VEX) के लिए स्पष्ट सपोर्ट के साथ।

हमारे द्वारा शिप किया गया हर रीडिंग पेन सुरक्षित अपडेट पैकेज में दोनों फ़ॉर्मेट लेकर जाता है। SBOM फर्मवेयर इमेज, एक अलग ECDSA-P256 हस्ताक्षर और हार्डवेयर मैनिफ़ेस्ट के साथ रहता है। वही बंडल खरीदार के रिसीविंग डॉक पर पहुंचता है।

अमेरिकी Executive Order 14028 (मई 2021) और EU Cyber Resilience Act (प्रभावी 2027) दोनों किसी भी नेटवर्क्ड डिवाइस के लिए SBOM आवश्यक करते हैं जो संघीय या EU उपभोक्ताओं को बेचा जाता है। रीडिंग पेन नेटवर्क्ड डिवाइस के रूप में योग्य होते हैं जब वे Q6, Q8, Y6 प्लेटफ़ॉर्म पर Wi-Fi या 4G मॉड्यूल के साथ शिप होते हैं। कैलिफ़ोर्निया के MTSS दिशानिर्देशों, न्यूयॉर्क स्टेट एजुकेशन डिपार्टमेंट के CPL और टेक्सास DIR-CPO-5417 के तहत स्कूल प्रोक्योरमेंट तेज़ी से NTIA के "न्यूनतम तत्वों" SBOM बेसलाइन का संदर्भ देते हैं।

रीडिंग पेन फर्मवेयर डिपेंडेंसी ट्री की संरचना

एक सामान्य K7 या F8 प्रोडक्शन बिल्ड सॉफ़्टवेयर सात आपूर्ति स्तरों से लेता है:

खरीदार सही में पूछ सकता है: इन 14,000 से 21,000 घटकों में से किसके लिए OEM वास्तव में गारंटी दे सकता है? हमारा उत्तर ईमानदार है — हर स्तर की एक अलग साक्ष्य श्रेणी है।

हमारे SBOM में उपयोग की जाने वाली 5 साक्ष्य श्रेणियाँ

हम प्रत्येक SBOM प्रविष्टि को एक साक्ष्य श्रेणी के साथ लेबल करते हैं ताकि खरीदार को पता चले कि कौन सा ऑडिट स्तर लागू होता है:

1. E1 — सोर्स-ब्लेस्ड: हमने सोर्स लाइन पढ़ी है, पिन किए गए कमिट हैश से बनाया है, और डेवलपर के GPG हस्ताक्षर सत्यापित किए हैं। एक सामान्य 18 MB Linux इमेज में ~62% घटकों को कवर करता है (बूटलोडर, कर्नल, कोर लाइब्रेरी, हमारा अपना कोड)।
2. E2 — डिस्ट्रो-ब्लेस्ड: हम अपस्ट्रीम डिस्ट्रीब्यूशन (Debian, Buildroot LTS) पर सत्यापन कार्य पूरा होने का भरोसा करते हैं। लगभग 28% कवरेज (Qt, ALSA, OpenSSL 3.0.x)।
3. E3 — वेंडर-प्रमाणित: हम सिलिकॉन वेंडर के बाइनरी ब्लॉब पर भरोसा करते हैं और केवल API सतह की समीक्षा करते हैं (Wi-Fi फ़र्मवेयर, Bluetooth HCI फ़र्मवेयर)। लगभग 7% कवरेज।
4. E4 — NDA-प्रमाणित: बंद थर्ड-पार्टी SDK; सोर्स कोड शेन्ज़ेन निर्माता द्वारा एस्क्रो में रखा गया है और स्वतंत्र लैब द्वारा वार्षिक रूप से समीक्षित किया जाता है। लगभग 3% कवरेज।
5. E5 — विरासत जोखिम: वे घटक जिनकी हम सीधे जाँच नहीं कर सकते (कैलिब्रेशन ब्लॉब्स, वेंडर HSM के तहत एन्क्रिप्ट किए गए वॉइस TTS एकॉस्टिक मॉडल भार)। क्रेता को केवल नाम से सूचित किया जाता है।

K7 फ़र्मवेयर पर कुल E1+E2 कवरेज घटकों के 90% और हमले की सतह (कोड की पंक्तियों) के 96% के बराबर है। शेष 10% हर SBOM के साथ संलग्न "अवशिष्ट जोखिम" परिशिष्ट में दर्ज किया गया है।

रीडिंग पेन के लिए CycloneDX 1.5 SBOM संरचना

नीचे K7 (हमारी कैटलॉग में सबसे अधिक तैनात चीनी ODM रीडिंग पेन) के लिए एक प्रतिनिधि SBOM अंश दिया गया है। यह वह संरचना दिखाता है जिसे स्कूल ज़िले का CISO या GSA मूल्यांकनकर्ता पार्स करेगा।

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "serialNumber": "urn:uuid:6ba7b810-9dad-11d1-80b4-00c04fd430c8",
  "version": 7,
  "metadata": {
    "timestamp": "2026-08-15T10:30:00Z",
    "tools": [{"vendor": "OWASP", "name": "CycloneDX-Maven-Plugin", "version": "2.7.10"}],
    "component": {
      "type": "firmware",
      "bom-ref": "pkg:smartreadingpen/[email protected]",
      "name": "k7-firmware",
      "version": "3.4.1",
      "hashes": [{"alg": "SHA-256", "content": "a4f5c8e92b3d..."}]
    }
  },
  "components": [
    {
      "bom-ref": "pkg:sw/[email protected]",
      "type": "library",
      "name": "u-boot",
      "version": "2024.07",
      "purl": "pkg:sw/[email protected]",
      "hashes": [{"alg": "SHA-1", "content": "9f3a..."}],
      "licenses": [{"license": {"name": "GPL-2.0+"}}],
      "evidence": {"identity": [{"field": "purl", "confidence": 100}]}
    }
  ]
}

K7 फ़र्मवेयर की हर निर्भरता Package URL (purl), लाइसेंस SPDX पहचानकर्ता, क्रिप्टोग्राफ़िक हैश और मूल-स्रोत (provenance) फ़ील्ड के साथ दर्ज की जाती है। क्रेता चलाकर cyclonedx-cli diff दो SBOM के बीच यह देख सकता है कि फ़र्मवेयर 3.4.0 और 3.4.1 के बीच ठीक-ठीक क्या बदला — एक सामान्य सुरक्षा पैच रिलीज़ में आमतौर पर 4 से 9 संशोधित घटक होते हैं।

रीडिंग पेन से जुड़े आपूर्ति श्रृंखला हमले के वेक्टर

बच्चों की रीडिंग पेन का हमले की सतह सामान्य-उद्देश्य वाले टैबलेट से छोटा होता है, लेकिन कई वेक्टर होते हैं जिन्हें क्रेता कम आँकते हैं:

1. OCR इंजन बैकडोर — एक समझौता किया गया Tesseract फ़ॉर्क स्कैन किए गए पृष्ठ की छवियों को हमलावर-नियंत्रित एंडपॉइंट पर लीक कर सकता है। हम Tesseract को एक विशिष्ट कमिट पर पिन करते हैं और reproducible-build फ़्लैग्स के साथ पुनः निर्मित करते हैं।
2. TTS वॉइस मॉडल स्वैप — वॉइस मॉडल बड़ी बाइनरी फ़ाइलें होती हैं (40 से 200 MB)। एक स्वैप पढ़ने की सामग्री में अभशिष्ठ या राजनीतिक सामग्री इंजेक्ट कर सकता है। हम वॉइस मॉडल पर फ़र्मवेयर वाली ही ECDSA कुंजी से हस्ताक्षर करते हैं और रनटाइम पर बेमेल हस्ताक्षर अस्वीकार करते हैं।
3. Wi-Fi फ़र्मवेयर ब्लॉब संशोधन — Wi-Fi चिपसेट निर्माता (Realtek, Broadcom) द्वारा जारी ब्लॉब्स को स्रोत से पुनः निर्मित नहीं किया जा सकता। हम वेंडर की संदर्भ रिलीज़ के विरुद्ध बाइनरी डिफ़िंग करते हैं और दर्ज errata से परे किसी भी विचलन को अस्वीकार करते हैं।
4. अनुवाद शब्दकोश विषाक्तन — OEM क्लाइंट (प्रकाशक, शिक्षा मंत्रालय) कस्टम शब्दकोश उपलब्ध कराते हैं। हम सामग्री लोड के समय प्रकाशक के हस्ताक्षरित मैनिफ़ेस्ट के विरुद्ध हर शब्दकोश का हैश-सत्यापन करते हैं।
5. OTA अपडेट सर्वर से छेड़छाड़ — पूरे IoT उद्योग में सबसे आम आपूर्ति-श्रृंखला वेक्टर। हम पहले बूट पर OTA सर्वर के प्रमाणपत्र को एक राइट-वन्स फ़्यूज़ में पिन कर देते हैं और किसी अन्य CA को स्वीकार करने से इनकार करते हैं, भले ही कॉर्पोरेट CA रोटेशन गलत हो जाए।
6. नकली सिलिकॉन — अनाधिकृत ब्रोकर के माध्यम से प्राप्त रीडिंग पेन SoCs को कम-स्पेक डाई के रूप में रीमार्क किया जा सकता है। हमारी आवक QC हर शिपमेंट लॉट के 2% AQL नमूने पर X-ray डाई निरीक्षण करती है।

दृश्यात्मक पुनरुत्पादन योग्य बिल्ड पाइपलाइन

एक reproducible build तीसरे पक्ष को SBOM-सूचीबद्ध स्रोत से हमारे फ़र्मवेयर को बाइट-दर-बाइट पुनः जनरेट करने देता है। हमने अपने फ़र्मवेयर के 90% हिस्से के लिए — जो ओपन सोर्स है — reproducibility में निवेश किया है। शेष 10% — बंद ब्लॉब्स — SBOM में E5 के रूप में दर्ज हैं।

हमारी CI पाइपलाइन चलाती है make SOURCE_DATE_EPOCH=fixed deterministic-build=yes और आउटपुट SHA-256 की तुलना प्रकाशित संदर्भ से करती है। 2026 Q3 तक, K7 फ़र्मवेयर इमेज Debian Bookworm और Ubuntu 22.04 LTS होस्ट पर बिट-एक्ज़ैक्ट reproducible है। फ़िट किए गए Wi-Fi/BT चिपसेट के आधार पर F8, B2, Q8, Y6 प्लेटफ़ॉर्म 92% से 98% तक reproducible हैं।

क्रेता हमारी पब्लिक स्क्रिप्ट से reproducibility स्वतंत्र रूप से सत्यापित कर सकते हैं:

git clone https://internal.smartreadingpen.example/k7-firmware.git
cd k7-firmware && git checkout v3.4.1
./build.sh --deterministic --output k7-firmware-3.4.1.bin
sha256sum k7-firmware-3.4.1.bin
# Should match: a4f5c8e92b3d...

वेंडर और निर्भरता पिनिंग अनुशासन

हर ओपन-सोर्स घटक को फ़्लोटिंग टैग के बजाय एक विशिष्ट कमिट हैश पर पिन किया जाता है। नए कमिट पर अपग्रेड के लिए 2-सप्ताह का SLA लागू होता है। इस विंडो के दौरान हम यह चलाते हैं:

• Coverity Scan और CodeQL के साथ स्थैतिक विश्लेषण
• पार्सर पर AFL++ के साथ कम से कम 100 CPU-घंटे का फ़ज़िंग
• हमारी अनुमति-सूची (MIT, BSD-2, BSD-3, Apache-2.0, डायनामिक लिंकिंग अपवाद के साथ LGPL-2.1, केवल बूट/कर्नेल के लिए GPL-2.0+) के विरुद्ध लाइसेंस संगतता समीक्षा
• नए संस्करण के विरुद्ध CVE डेटाबेस क्रॉस-चेक (NVD, GHSA, OSV)

कोई भी गेट विफल करने वाले घटक पिछले संस्करण पर रोक दिए जाते हैं। SBOM में रोका गया संस्करण और अपस्ट्रीम का वर्तमान संस्करण दोनों दर्ज होते हैं ताकि क्रेता ठीक-ठीक देख सके कि हमें क्या ज्ञात है।

फ़र्मवेयर मूल-स्रोत और हस्ताक्षर श्रृंखला

हर K7 प्रोडक्शन फ़र्मवेयर तीन हस्ताक्षर परतों के साथ आता है:

1. डेवलपर हस्ताक्षर — फ़र्मवेयर बनाने वाले इंजीनियर अपनी व्यक्तिगत GPG कुंजी से हस्ताक्षर करते हैं। बिल्ड सिस्टम में लॉग किया जाता है।
2. OEM कंपनी हस्ताक्षर — हमारे शेन्ज़ेन सुरक्षित तिजोरी में रखा गया हार्डवेयर सुरक्षा मॉड्यूल (YubiHSM 2) कंपनी sub-CA से हस्ताक्षर करता है।
3. स्वतंत्र गवाह हस्ताक्षर — एक बाहरी ऑडिटर (Bureau Veritas या TÜV) U.S., EU या ऑस्ट्रेलियाई K12 बाज़ारों के लिए निर्धारित SKUs के लिए काउंटर-हस्ताक्षर प्रदान करता है।

डिवाइस बूटलोडर इस श्रृंखला को उल्टे क्रम में सत्यापित करता है। किसी भी हस्ताक्षर के बिना फ़्लैश इमेज बूट पर अस्वीकार कर दी जाती है। ग्राहक की नियामक टीम ईमेल करके किसी भी हस्ताक्षर श्रृंखला की प्रति का अनुरोध कर सकती है [email protected] पर SKU और सीरियल रेंज के साथ।

भेद्यता प्रकटीकरण और SBOM-CVE जीवनचक्र

SBOM उतना ही उपयोगी है जितनी इसे अद्यतन रखने की प्रक्रिया। हमारा भेद्यता प्रबंधन जीवनचक्र TC-149 (CVE पैच जीवनचक्र) में अलग से प्रलेखित है। संक्षेप में:

1. दैनिक अंतर्ग्रहण — NVD, GHSA, OSV-Scanner फ़ीड्स को हमारे ट्रैकर में खींचा जाता है।
2. घटक मिलान — हर CVE को CPE या purl द्वारा SBOM घटक सूची के विरुद्ध मिलाया जाता है।
3. ट्रायज SLA — critical CVEs को 72 घंटे का पैच लक्ष्य दिया जाता है; high 14 दिन; medium 45 दिन; low अगली तिमाही रिलीज़।
4. ग्राहक सूचना — कोई भी CVE जिसका स्कोर ≥7.0 हो और जंगली शोषण हो, उसके लिए पंजीकृत खरीदारों को 24 घंटे के भीतर ईमेल भेजा जाता है।
5. OTA रोलआउट — एक फिक्स रिलीज़ पहले 7 दिनों के लिए OTA स्टेजिंग चैनल में जाती है, फिर 25%, और 21 दिनों में 100% तक पहुँचती है।

हर रिलीज़ पर SBOM संस्करण बढ़ता है। dependency-track या GUAC चलाने वाला खरीदार हमारे SBOM फ़ीड को /sbom/feed.json पर लेकर अपने तैनात फ़्लीट पर नए CVEs के लिए अलर्ट कर सकता है।

ऑडिट, प्रमाणन और खरीदार-सत्यापन योग्य साक्ष्य

संघीय खरीद नियमों के तहत खरीदारों को अक्सर तृतीय-पक्ष प्रमाणन की आवश्यकता होती है। हमारे मानक SBOM पैकेज में शामिल हैं:

• SOC 2 Type II रिपोर्ट जो फ़र्मवेयर बिल्ड वातावरण को कवर करती है (वार्षिक, Schellman & Co. द्वारा)
• ISO/IEC 27001:2022 प्रमाणन SBOM प्रकाशन और हस्ताक्षर पाइपलाइन के लिए (Bureau Veritas, प्रमाणपत्र #CN-2024-IS-0091)
• TÜV NORD EN 303 645 प्रमाणन उपभोक्ता IoT सुरक्षा आधाररेखा के लिए
• NIST SP 800-218 SSDF v1.1 स्व-मूल्यांकन (Secure Software Development Framework) — पूर्ण PDF NDA के तहत उपलब्ध
• (सभी 7 डेटा फ़ील्ड भरे हुए)NTIA 2024 अनुरूपता के अनुसार SBOM न्यूनतम फ़ील्ड
• प्रति VEX फ़ीड/vex/feed.jsonदस्तावेज़ी औचित्य के साथ किसी भी CVE के लिए जो "not_affected" के रूप में चिह्नित हो

पर उन सभी CVEs के लिए जिन्हें "not_affected" के रूप में चिह्नित किया गया है, साथ में प्रलेखित औचित्य

खरीदार हमारी शेन्ज़ेन सुविधा में 1 दिन की सप्लायलस चेन वॉकथ्रू के लिए ऑडिटर भी भेज सकता है। ऑडिट में BOM स्टेजिंग क्षेत्र, फ़र्मवेयर बिल्ड फ़ार्म, हस्ताक्षर HSM कस्टडी श्रृंखला और OTA बैकएंड अवसंरचना शामिल हैं।

वास्तविक उत्पादन संख्याएँ — K7 और Y6 उदाहरण

21 दिन

उच्च-स्तरीय Y6 (4G सेलुलर रीडिंग पेन AI ट्यूटर के साथ) के लिए SBOM बड़ा है (21,000+ घटक) और इसमें सेलुलर मोडेम फ़र्मवेयर एक अलग E5 प्रविष्टि के रूप में शामिल है।

SBOM सामग्री के लिए आंतरिक लिंक जाल

• एक रीडिंग पेन सुरक्षा खरीदार हमारे कैटलॉग में पढ़ना चाहेगा:TC-149
• TC-145 — साइड-चैनल अटैक और कॉन्स्टेंट-टाइम क्रिप्टो (एल्गोरिदम-स्तर की वे खतरे जिन्हें SBOM पकड़ नहीं पाता)
• TC-147 — JTAG डिसेबल और डीबग इंटरफ़ेस लॉकडाउन (SBOM पारदर्शिता के लिए डिवाइस-स्तर का सहयोगी)
• K7 प्रोडक्ट पेज — SBOM-सहित बिल्ड के लिए मॉडल-विशिष्ट कस्टमाइज़ेशन विकल्प
• खरीद मार्गदर्शिका: प्रमाणन रोडमैप — CE, FCC और EN71 ऑडिट के लिए SBOM कैसे मैप होता है
• उद्योग: K12 डेटा गोपनीयता — SBOM प्रथाओं के साथ FERPA, COPPA, GDPR-K का संरेखण

मिलकर ये एक क्लोज़्ड-लूप कहानी बनाते हैं: एक खरीदार सत्यापित कर सकता है कि डिवाइस में कौन सा कोड है (SBOM), वह कैसे पहुँचा (रिप्रोड्यूसिबल बिल्ड + सिग्नेचर चेन), क्या खतरे वहन करता है (CVE फ़ीड), और कौन सी सुरक्षा अंतर्निहित है (JTAG लॉकडाउन, कॉन्स्टेंट-टाइम क्रिप्टो, साइन्ड फ़र्मवेयर)।

रीडिंग पेन SBOM FAQ

{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "SmartReadingPen प्रत्येक डिवाइस के साथ किन SBOM फ़ॉर्मेट में शिप करता है?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "हम फ़र्मवेयर इमेज के साथ सुरक्षित अपडेट पैकेज में एम्बेडेड CycloneDX 1.5 और SPDX 2.3 दोनों SBOM शिप करते हैं। प्रत्येक SKU के पास /sbom/{sku}/feed.json पर एक वर्शन्ड SBOM फ़ीड होती है साथ ही फ़ैक्ट्री पैकेजिंग मैनिफ़ेस्ट के अंदर एक वन-टाइम स्नैपशॉट।"
      }
    },
    {
      "@type": "Question",
      "name": "एक सामान्य K7 रीडिंग पेन फ़र्मवेयर में कितने कंपोनेंट होते हैं?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "K7 प्रोडक्शन फ़र्मवेयर (v3.4.x) में 18,400 से 18,500 कंपोनेंट हैं, जिनमें 90.5% source-blessed या distro-blessed (E1+E2 एविडेंस क्लास) हैं, 6.7% vendor-blessed (Wi-Fi\/BT ब्लॉब्स) हैं, और शेष NDA या इनहेरिटेड रिस्क के अंतर्गत हैं।"
      }
    },
    {
      "@type": "Question",
      "name": "क्या कोई खरीदार SBOM को स्वतंत्र रूप से सत्यापित कर सकता है?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "हाँ। हम सटीक सोर्स कमिट हैश, रिप्रोड्यूसिबल-बिल्ड स्क्रिप्ट और रेफ़रेंस SHA-256 हैश प्रकाशित करते हैं। एक खरीदार अपने Debian Bookworm या Ubuntu 22.04 होस्ट पर फ़र्मवेयर का पुनर्निर्माण करके हैश की तुलना कर सकता है; इमेज के ओपन-सोर्स 90% भाग के लिए ये बिट-फ़ॉर-बिट मेल खाने चाहिए।"
      }
    },
    {
      "@type": "Question",
      "name": "शिप किए गए रीडिंग पेन फ़र्मवेयर में कोई क्रिटिकल CVE खोजे जाने पर क्या होता है?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "कन्फ़र्मेशन के 24 घंटे के भीतर हम सभी पंजीकृत खरीदारों को CVE ID, प्रभावित SKUs, शमन स्थिति और अपेक्षित पैच तिथि के साथ ईमेल करते हैं। क्रिटिकल CVE के लिए 72 घंटे का पैच रिलीज़ लक्ष्य होता है; हाई-सीवरिटी के लिए 14 दिन का लक्ष्य। फ़िक्स हमारे OTA स्टेजिंग चैनल में प्रवेश करता है और 21 दिनों में रोल आउट होता है।"
      }
    },
    {
      "@type": "Question",
      "name": "क्या SmartReadingPen यू.एस. एग्ज़ीक्यूटिव ऑर्डर 14028 की SBOM आवश्यकता का अनुपालन करता है?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "हाँ। हमारा SBOM NTIA की सभी 7 न्यूनतम फ़ील्ड्स (सप्लायर का नाम, कंपोनेंट का नाम, वर्शन, डिपेंडेंसी रिलेशनशिप, SBOM डेटा के लेखक, टाइमस्टैम्प, हैश) को पूरा करता है और SPDX तथा CycloneDX दोनों में प्रकाशित होता है। हम 'not_affected' निर्णयों को उचित कारण के साथ दस्तावेज़ित करते हुए एक VEX फ़ीड भी प्रकाशित करते हैं।"
      }
    },
    {
      "@type": "Question",
      "name": "EU साइबर रेज़िलिएंस एक्ट (CRA) के साथ SBOM कैसे परस्पर क्रिया करता है?"
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "CRA 2027 में लागू होगा। हमारा SBOM, कमज़ोरी संचालन नीति और 5-वर्षीय सपोर्ट प्रतिबद्धता पहले से ही CRA की Annex I §2 आवश्यकताओं को पूरा करते हैं। हम 2025 से सभी EU-बाउंड SKUs के लिए CRA-संरेखित SBOM पहले से प्रकाशित कर रहे हैं।"
      }
    }
  ]
}

संबंधित रीडिंग

• TC-149: रीडिंग पेन CVE पैच लाइफ़साइकल और वल्नरेबिलिटी डिस्क्लोज़र
• TC-145: रीडिंग पेन साइड-चैनल अटैक और कॉन्स्टेंट-टाइम क्रिप्टो
• TC-147: रीडिंग पेन JTAG डिसेबल और डीबग इंटरफ़ेस लॉकडाउन
• K7 रीडिंग पेन OEM/ODM कस्टमाइज़ेशन
• रीडिंग पेन OEM प्रमाणन रोडमैप: CE, FCC, EN71
• K12 के लिए रीडिंग पेन डेटा गोपनीयता: FERPA, COPPA, GDPR-K

खरीद CTA

यदि आप किसी फ़ेडरल, राज्य, या EU K12 डिप्लॉयमेंट के लिए OEM रीडिंग पेन भागीदारों का मूल्यांकन कर रहे हैं, तो हम साइन किए गए MNDA के 48 घंटे के भीतर एक नमूना K7 SBOM पैकेज भेज सकते हैं। पैकेज में CycloneDX और SPDX दोनों आर्टिफ़ैक्ट, रिप्रोड्यूसिबल-बिल्ड स्क्रिप्ट, हमारे फ़र्मवेयर पाइपलाइन को कवर करने वाली SOC 2 Type II रिपोर्ट का अंश, और NIST SSDF सेल्फ़-असेसमेंट शामिल है। ईमेल करें [email protected] या हमारा संपर्क पृष्ठ देखें पैकेज का अनुरोध करने के लिए।

बिल्ड फ़ार्म को स्वयं देखना चाहेंगे? हम अपनी शेनझेन फ़ैसिलिटी पर मासिक सप्लाई-चेन वॉकथ्रू आयोजित करते हैं। 1-दिवसीय यात्रा में BOM स्टेजिंग एरिया, HSM कस्टडी चेन, साइनिंग रूम, और एक लाइव रिप्रोड्यूसिबल-बिल्ड प्रदर्शन शामिल है। फ़ैक्ट्री टूर बुक करें और हमारे चीफ़ सिक्योरिटी ऑफ़िसर व्यक्तिगत रूप से चेन के हर लिंक से आपका मार्गदर्शन करेंगे।