Olvasótoll adatbiztonság és titkosítás: AES-256, TLS 1.3, biztonságos rendszerindítás és B2B kulcskezelés

Célközönség: Ez a cikk biztonsági architekták, informatikai igazgatók, iskolai beszerzési szakemberek és megfelelőségi tisztviselők számára készült, akiknek a csatlakoztatott olvasótoll-kínálat titkosítási, kulcskezelési és biztonságos rendszerindítási helyzetéről kell megalapozott műszaki képet kapniuk. Dokumentálja az AES-256 tárolási titkosítást, a TLS 1.3 átvitel közbeni titkosítást, a hardveres biztonságos rendszerindítást és a B2B kulcskezelési modellt.

A csatlakoztatott olvasótoll egy kis méretű számítógép mikrofonnal, Wi-Fi rádióval és hosszú akkumulátor-üzemidővel. Ugyanaz a biztonsági architektúra védi, mint egy vállalati laptopot, egy olyan eszközre méretezve, amelynek EXW ára 11,40 USD, és 158 g-os karton csomagolásban szállítjuk. A katalógusunkban szereplő tizenegy gyártási modell esetében a biztonsági helyzet a rádióképességektől, a firmware-generációtól és a csoport összetételétől függően változik. Ez a cikk dokumentálja a titkosítási architektúrát, a biztonságos rendszerindítási láncot, a kulcskezelési életciklust és a B2B auditcsomagot, amelyet a gyár biztosít a forgalmazók számára, hogy ügyfeleik előtt igazolható biztonsági helyzetet mutathassanak fel.

1. Az olvasótoll-biztonság három rétege

Az olvasótoll-biztonság három rétegre épül. Az 1. réteg az eszköz, amely magában foglalja a biztonságos rendszerindítást, a titkosított tárolást és a manipulációérzékelőt. A 2. réteg a csatorna, amely magában a TLSv1.3 átvitel közbeni titkosítást és a tanúsítvány-rögzítést. A 3. réteg a felhő, amely magában az AES-256 tárolási titkosítást, a kulcscserét és az auditnaplózást.

A csatlakoztatott kínálatban minden olvasótoll megvalósítja mind a három réteget. A kizárólag offline B1, B2, K7, valamint a KF1 csak az 1. réteget valósítja meg, biztonságos rendszerindítással és titkosított tárolással a helyi SD-kártyán, amennyiben van ilyen.

Vásárlási tipp: Csatlakoztatott csoport aláírása előtt mindig kérje a behatolásteszt-jelentést. Egy olyan gyár, amely nem fektetett be független harmadik fél által végzett behatolástesztbe, nem tud válaszolni a biztonsági csapata előtt a titkosítási architektúrával kapcsolatos kérdésekre.

2. Tizenegy modellből álló biztonsági helyzet mátrix

A biztonsági helyzet a tizenegy gyártási modell között változik: a régebbi belépő szintű modellek szoftveres bizalmi láncra támaszkodnak, az újabb zászlóshajók pedig hardveres biztonsági elemet is tartalmaznak. Az alábbi mátrix összefoglalja az egyes modellek helyzetét.

A(z) Q8, T2, és Y6 az egyetlen olyan modell, amely teljes TPM 2.0 hardveres biztonsági elemmel és mesh-alapú manipuláció-érzékelő hálózattal rendelkezik. Ezek az ajánlott modellek olyan iskolai telepítésekhez, amelyek magas biztonsági szintet követelnek meg, és egyben az egyetlen modellek, amelyek megfelelnek a csatlakoztatott eszközökre vonatkozó EU EN 18031 kiberbiztonsági szabványnak.

3. AES-256 nyugalmi állapotban

Minden csatlakoztatott olvasótoll a telemetriai gyorsítótárat, a licencfájlt és a letöltött tartalmakat AES-256-XTS titkosítású partíción tárolja a belső flash memóriában. A titkosítási kulcs egy hardveres egyedi kulcsból (HUK) és egy csoportonkénti diverzifikációs értékből származik, ami azt jelenti, hogy ugyanaz a kulcs soha nem jelenik meg két eszközön. Ezt a tulajdonságot eszközenkénti kulcsegyediségnek nevezzük, és egyetlen kulcs kompromittálódásának hatókörét egy eszközre korlátozza.

A gyár az AES-256-XTS módot használja a tömeges tároláshoz, mert ez a teljes lemezes titkosítás szabványa, az AES-256-GCM módot pedig strukturált adatokhoz, mert hitelesített titkosítást biztosít. A HUK a wafer tesztelés során jön létre, és az SMT során beleolvad a biztonsági elembe, ami azt jelenti, hogy a kulcs soha nem hagyja el a chipet titkosítatlan formában.

4. TLS 1.3 az átvitelben

Minden olvasótoll, amely csatlakozik a felhőhöz, TLS 1.3 protokollt használ X.509 tanúsítvány-rögzítéssel. A rögzítést egy gyári root tanúsítvány és egy tartalék root tanúsítvány ellen hajtja végre, amelyeket mindkettőt RSA-2048-cal írnak alá. A TLS 1.3 titkosítási csomag a TLS_AES_256_GCM_SHA384, amely forward secrecy-t és hitelesített titkosítást biztosít.

Egy TLS kézfogás a regionális POP-pal 240 ms és 480 ms között tart, a round-trip késleltetéstől függően. A kézfogás befejezése után az eszköz egy streaming HTTP/2 kapcsolatot nyit 16 multiplexelt stream-mel, ami lehetővé teszi a delta-frissítés, a telemetria-feltöltés és a licenc-ellenőrzés párhuzamos végrehajtását.

5. Biztonságos boot-lánc

Minden csatlakoztatott olvasótoll megvalósít egy biztonságos boot-láncot, amely a biztonsági elem megváltoztathatatlan bootloaderétől indul, és az alkalmazás firmware-jéig tart. Minden szakasz ellenőrzi a következő szakasz aláírását a biztonsági elemben tárolt root kulccsal szemben. Ha bármely aláírás sikertelen, az eszköz leáll és megtagadja a bootolást.

A firmware-képet a gyári root kulccsal írják alá a kiadás időpontjában, és az aláírást minden rendszerbetöltéskor ellenőrzik. A gyári visszaállítás a firmware-t az aláírt képből írja újra, ami azt jelenti, hogy egy kompromittálódott eszköz mindig visszaállítható egy ismert jó állapotba egy helyszíni technikus által, USB-C debug kábellel és a gyári kulcs letéti példányával.

6. Kulcskezelési életciklus

A gyár olyan kulcskezelési szolgáltatást működtet, amely kiadja, rotálja és visszavonja a kohorszonkénti licenckulcsokat, az eszközönkénti tanúsítványokat és a TLS szerver tanúsítványokat. A szolgáltatás FIPS 140-2 kompatibilis, és évente harmadik fél általi auditor vizsgálja felül.

Egy kulcs kompromittálódása azonnali visszavonást indít el minden POP-on, valamint push értesítést küld minden eszköznek, hogy a tanúsítvány visszavonásra került. Az eszköz ezután a következő szinkronizálási ablakban új tanúsítványt kér, ami 24 órán belül lezárja a kompromittálódási ablakot.

7. Penetration teszt eredmények

A gyár évente penetration tesztet rendel meg egy, a csatlakoztatott fogyasztói elektronikára szakosodott harmadik fél általi auditorcégtől. A 2025-ös teszt 6 hétig tartott, és lefedte a firmware-t, a rádió vermet, a felhő API-t és a POP infrastruktúrát. A teszt 14 findinget talált, amelyből 2 kritikus, 4 magas, 6 közepes és 2 alacsony volt. Minden kritikus és magas finding 90 napon belül javításra került.

A 2026-os behatolásteszt a Q3-ra van ütemezve, és lefedi az új Y6 mesh tamper detection hálózatot és a soron következő POP-ot Mexikóvárosban. A behatolásteszt-jelentés NDA alatt elérhető minden forgalmazó számára, aki legalább 1,000+ eszközből álló aktív csoporttal rendelkezik.

8. B2B Biztonsági Audit Csomag

A gyár biztonsági audit csomagot biztosít minden forgalmazónak, aki aktív csatlakoztatott csoporttal rendelkezik. A csomag tartalmazza a behatolásteszt-jelentést, az architektúradiagramot, a kulcskezelési szabályzatot, az incidenskezelési tervet és a biztonságos rendszerindítási igazolást. A csomagot negyedévente felülvizsgálják, és minden behatolásteszt vagy jelentősebb biztonsági esemény után frissítik.

A SOC 2 Type II jelentést a regionális POP-okat üzemeltető felhőszolgáltató biztosítja. A 2025-ös SOC 2 jelentés 12 hónapnyi működést fed le a Frankfurti, Szingapúri, Dubaji, São Pauló-i, Lagos-i és Tokiói POP-okon, kivétel nem merült fel.

9. Gyakori biztonsági hiányosságok, amelyeket a disztribútori programokban találunk

Több mint 230 disztribútori telepítés során a gyár biztonsági csapata hat olyan gyakori hiányosságot azonosított, amelyek kockázatot jelentenek. A hiányosságok gyakoriság szerinti sorrendben vannak felsorolva.

A leggyakoribb hiányosság a TLS 1.2 visszafelé kompatibilitás, amelyet néha olyan disztribútorok engedélyeznek, akik régebbi Wi-Fi routereket szeretnének támogatni. A gyár ajánlása, hogy mindig követeljék meg a TLS 1.3 használatát, és a régebbi routerekhez külön captive portal folyamatot vezessenek be.

10. Döntési checklist az összekapcsolt kohorsz aktiválása előtt

Mielőtt egy összekapcsolt kohorsz aktiválásra kerül, a gyár biztonsági csapata megköveteli a disztribútortól hét pont megerősítését. Bármely pontra adott nem választ az aktiválás előtt rendezni kell.

1. TLS 1.3 kikényszerítve: a TLS 1.2 visszafelé kompatibilitás le van tiltva a POP peremén.
2. Tanúsítvány-pin engedélyezve: az eszköz firmware-ében a tanúsítvány-pin kikényszerítésre került.
3. Naplózás engedélyezve: minden POP esemény a megváltoztathatatlan auditnaplóba kerül.
4. Kulcscsere engedélyezve: a kohorsz-specifikus licenckulcs csere 24 hónapra van állítva.
5. Behatolásteszt-jelentés naprakész: a legutóbbi behatolásteszt-jelentés 12 hónapnál nem régebbi.
6. SBOM rendelkezésre áll: a firmware buildhez tartozó software bill of materials (SBOM) archiválva van.
7. Incidenskezelési terv átvizsgálva: a közös incidenskezelési tervet az elmúlt 12 hónapban tesztelték.

Ha mind a hét pontra igennel tud válaszolni, a kohorsz készen áll az aktiválásra. Ha öt vagy hat pontra tud igennel válaszolni, a hiányosságokat a gyár biztonsági csapatával egyeztetve kell rendezni az aktiválás előtt.

11. Minta biztonsági többletköltség-gazdaságtan

A biztonsági többletköltség az 1 000 eszköz feletti kohorszok esetén az előfizetési árban benne van. Kisebb kohorszok esetén a többletköltség önköltségi áron elérhető. Az árazás úgy van kialakítva, hogy egy kis disztribútor eszközönként évi 0,24 USD biztonsági többletköltséget fizessen, amely fedezi a behatolásteszt-allokációt, a kulcskezelő szolgáltatást és a SOC 2 audit átterhelését.

Dedikált CISO havi $4 800 áron érhető el az 5 000+ készülékkel rendelkező disztribútorok számára. A CISO a disztribútor biztonsági csapatának nevezett kapcsolattartója, és a negyedéves biztonsági felülvizsgálatot vezeti. A dedikált POP a 20 000+ készülékkel rendelkező disztribútorok számára van fenntartva, és egy további hálózatelkülönítési réteget biztosít.

Kapcsolódó cikkek

• GDPR-megfelelés az olvasótoll-alkalmazások és a felhő esetében
• COPPA-megfelelés a csatlakoztatott olvasótollakhoz
• Olvasótoll adatvédelem és COPPA-megfelelés
• Olvasótoll tartalomkönyvtár felhő-szinkronizálás
• Olvasótoll szülői haladási irányítópult
• Olvasótoll adatvédelmi megfelelés
• Beszállítói kockázatkezelés
• Y6 olvasótoll specifikációs útmutató