Olvasótoll visszaforgatásgátlás és verzióigazolás: Miért nem futtathat klónozott toll régebbi firmware-t

Célközönség: Ezt a cikket OEM/ODM programvezetőknek, a DRM-erózió miatt aggódó márkatulajdonosoknak, valamint iskolai beszerzési szervezetek compliance tisztviselőinek írjuk, akiknek egyetlen kérdésre kell egyértelmű választ kapniuk: „ha egy versenytárs levesz a polcunkról egy tollat, és visszavillogtatja a régebbi firmware-t, visszahozhat-e egy DRM-mentes OID-könyvtárat?”. Végigmegyünk a monotonikus számlálón, az eFuse-elrendezésen, a verzióigazolási kézfogáson és a helyszíni hibakeresési folyamaton a Smart Reading Pen termékcsalád mind a 11 SKU-ján (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6).

Az anti-rollback a legunalmasabban hangzó biztonsági funkció, amely nélkül egy olvasótoll-program nem létezhet. Egy DRM-rendszer, amely az OID-könyvtár AES-128 wrap-jét védi, csak annyira erős, mint a wrap-kulcsot tartalmazó firmware – és ha a firmware visszaállítható egy olyan buildre, amely nem ellenőrzi a wrapet, a wrap nyitva marad. Több mint 47 000 tollat szállítottunk ki, és három visszafejtési kísérletet láttunk csődbe menni, pontosan azért, mert még azelőtt elkaptuk őket, hogy alacsonyabb monotonikus számlálójú buildhez értek volna.

Vevői tipp: Tegyen fel a beszállítónak két kérdést: „mi a legmagasabb monotonikus számláló egy telepített tollon?” és „tud-e visszavonni egy számlálót, és kikényszeríteni a teljes flotta attestationjét?”. Ha egy beszállító termelési hardveren 1 000 feletti számlálót üzemeltet, valódi firmware-frissítéseket szállít; 200 alatt nem.

1. A három fenyegetés, amely ellen az anti-rollback véd

Az anti-rollback nem egyetlen funkció. Ez három támadási osztály elleni együttes védelem, amely miatt minden B2B vevőnek aggódnia kell.

1. Reprodukció: Egy versenytárs kinyit egy tollat, kiforrasztja a flash-t, kiírja a firmware-t, és visszaflasheli egy hamis flottába. Az anti-rollback a következő attestationnél elkapja.
2. Visszautasítás: Egy OEM-peres fél azt állítja, hogy „ezt a tollat régi firmware-rel szállítottuk, tehát nem vagyunk felelősek”. A monotonikus számláló az audit-lánc, amely az adott dátumhoz rögzíti a firmware-t.
3. Regresszió: Egy forgalmazó talál egy régi buildet, amely nem kényszeríti ki az OID wrapet. Visszafoltozza a buildet a saját flottájába. Az anti-rollback a következő bootnál elkapja.

A mérnöki csapat mindhármat hatókörön belüli feladatnak tekinti. A számláló- és attestation blokkokat ennek megfelelően méretezzük.

2. A monotonikus számláló SKU-nként

A monotonikus számláló platformonként más fizikai helyen található. Minden SKU-n legalább egy számláló található; a legtöbbnél kettő van (egy a firmware, egy az OID-szótár verzióhoz).

A Cortex-M4F eFuse sorok egyszer programozhatók. Ha egyszer kiírt egy sort, a számláló nem állítható vissza. A 32 bit nyolc darab 4 bites bankra osztása elméletileg 2^32 növelési keretet ad, amely bármely egyedi SKU teljes élettartamához elegendő.

A Cortex-M33 és Cortex-A53 kialakítások egy akkumulátorral tartott NVM számlálót (5 éves akkumulátor-megtartás) kombinálnak egy eFuse sorral. Az NVM számláló kezeli a rutinszerű verzióugrásokat; az eFuse sor a vészhelyzeti attestálási frissítések számára van fenntartva. A T2 és Y6 modellek háromszorosan redundáns számlálója a legmagasabb szint, és kötelező az olyan A mintájú OEM programoknál, amelyek a lehető legerősebb letagadásellenes láncot kívánják.

3. Verzió-attesztálás az első indításkor

A verzió-attesztálás az a kézfogás, amellyel a toll igazolja a felhőnek vagy egy szerviz-sablon felé, hogy egy megadott minimális vagy annál magasabb verziójú firmware-t futtat. A protokoll minden SKU esetén azonos, de a kriptográfiai primitív eltérő.

A min_fw_version az NVM-ben tárolódik, és az OEM közbenső CA írja alá. OTA payload által emelhető, de soha nem csökkenthető. A toll minden indításkor összehasonlítja. Az összehasonlítás a SE hardveres komparátorát használja, így még a gazda CPU kompromittálása esetén is leáll a rendszerindítás.

4. Helyszíni statisztikák: milyen gyakran blokkolnak tollakat?

2025–26-ban több mint 47 000 telepített toll során a rollback-észlelési alrendszer a következő kísérleteket fogta el.

A négy megerősített hamisító labor kísérletet a helyszínen 30 napon belül elkapták; mind a négy olyan tollat érintett, ahol a SE-t fizikailag eltávolították és kicserélték. Mivel az eszközspecifikus azonosító kulcsot a SE-azonosítóhoz kötjük, a hamisított toll nem tudta befejezni az OTA kézfogást, és feketelistára került.

5. A számláló növekedési üteme

A számláló minden kiszállított firmware kiadással növekszik. Ütemezés soronként:

A T2 a legagresszívebben frissített termékvonal; ez szándékos, mert a T2 hordozza a legmagasabb egységenkénti DRM-értéket (az új prémium OID-könyvtár). Az Y6-ot visszafogottabban frissítjük, mert úgy pozicionáljuk, mint a stabil munkalovas iskolai körzetek számára, amelyek nem akarnak havonta változtatásokat.

6. Vész-visszaállítási erőszakos érvénytelenítés

Egyetlen eset van, amikor az egész flottát magasabb számlálóra akarjuk kényszeríteni. Ez akkor történik, amikor a terepen valódi hibát fedeznek fel, és szükségünk van arra, hogy minden toll új frissítési minimum-verzióval igazolja magát. Az eljárás minden SKU-n azonos.

1. Generáljon egy új firmware-képet a min_fw_version = current + 10.
2. értékkel, és írja alá a gyári HSM-mel.
3. Tolja fel a képet OTA-n keresztül, „EMERGENCY” jelöléssel.
4. A következő sikeres indításkor a számláló-ellenőrzés az új értékre emelkedik, és a toll folytatja a működést.
5. Azokat a tollakat, amelyek 30 napon belül nem kapják meg az OTA-t, a felhő-irányítópulton megjelöljük az OEM számára.

A legalacsonyabb esemény (Q2-26, 95,6 %) egy brazil minisztériumi bevetés volt, ahol a tollak 4,4 %-a 30+ napja offline volt. Az OEM iskolai körzeti menedzsere összegyűjtötte ezeket a tollakat, és asztali dokkolóval, kötegelve futtatta az OTA-t.

7. OEM programok és számláló-letét

Az OEM „A” mintás programoknál (csak T2, Y6) a számlálót az OEM aláíró HSM-je növeli. Az OTA-csomagot az importőr aláíró eszköze állítja össze. „B” OEM minta esetén a számláló a gyári HSM tulajdona, és az importőr csak támogatási jegyben kérheti a számláló-emelést.

Az „A” minta a legbiztonságosabb, de egyben a legműködésigényesebb. Egy számláló-emeléshez két OEM-oldali aláírás szükséges, ami 8 ms-ba kerül egy Thales Luna T-7 eszközön. A „B” minta egységszinten ingyenes, de azt jelenti, hogy az importőr ellátási láncbeli incidens esetén nem tud egyoldalúan számlálót emelni.

Az OEM-vásárlóknak javasolt döntési ökölszabály: csak akkor válassza az „A” mintát, ha a programja évi 50 000 toll felett szállít, vagy ha a tenderkírások kifejezetten házon belüli számláló-letétet írnak elő. Ez alatt a „B” minta ugyanazt a védhető anti-rollback védelmet nyújtja nulla járulékos működési költség mellett.

8. Újraprogramozás számláló-blokkolási kísérlet után

Ha egy tollat egy anti-rollback ellenőrzés blokkol, az egyetlen visszaút egy gyári újraflashelés egyszer használatos karbantartási tokennel. A tokent az OEM ügyfélszolgálati csapata generálja, a gyári HSM írja alá, 30 napig érvényes, és használat után égetésre kerül. Költség: 1,20 USD tokenenként nagy tételben (a biztonsági elem égetése a szűk keresztmetszet), a kézi munka 4,50 USD.

47 000+ kiszállított toll mellett a blokkolási események átlagos aránya évi 0,21 %; ez nagyjából 100 kiküldött tokent jelent. 50 000 tollra évi 200 tokennel számolunk; a varianciát a fedezetünkbe építjük be.

9. A lényeg a disztribútorok és tenderek számára

Az anti-rollback az, ami a DRM-sémát a „papírról” „érvényesítettre” alakítja. A monoton számláló, az OTA emelési mechanizmus és a terepi hibakezelési leállás az, ami egy legitim OEM-ajánlat és egy hamisító gyár között áll. A 11 SKU-nkban tartott számlálót három redundáns technológián (SE NVM, eFuse sor, RTC tükör a T2/Y6 esetén) tartjuk fenn negyedéves auditokkal.

Ajánlatot kérek — Gyors gyári válasz

CTA

Kapcsolódó olvasnivaló

• Olvasótoll firmware-titkosítás és biztonságos rendszerindítás
• Olvasótoll BIOS rendszerindítási folyamat és megbízható rendszerindítás
• Olvasótoll OTA visszaállítás és verzió-rögzítés
• Olvasótoll kriptográfia és TrustZone
• Olvasótoll biztonsági elem és manipuláció elleni védelem
• Olvasótoll kulcskezelés és HSM
• Ajánlatot kérek

Végső felhívás