Securitatea datelor și criptarea stiloului de citit: AES-256, TLS 1.3, Secure Boot și gestionarea cheilor B2B

Public țintă: Acest articol este adresat arhitecților de securitate, directorilor IT, responsabililor de achiziții din sectorul educațional și ofițerilor de conformitate care au nevoie de o imagine tehnică sustenabilă privind criptarea, gestionarea cheilor și postura de boot securizat a gamei de creioane de citit conectate. Documentul descrie criptarea AES-256 în repaus, criptarea TLS 1.3 în tranzit, boot-ul securizat hardware și modelul de custodie a cheilor pentru partenerii B2B.

Un creion de citit conectat este un computer de mici dimensiuni cu microfon, radio Wi-Fi și o autonomie mare a bateriei. Aceeași arhitectură de securitate care protejează un laptop corporativ se aplică, dimensionată pentru un dispozitiv cu un preț EXW de 11,40 $ și expediat într-un carton de 158 g. În cele unsprezece modele din producția curentă din catalogul nostru, postura de securitate variază în funcție de capabilitatea radio, generația de firmware și populația cohortei. Acest articol documentează arhitectura de criptare, lanțul de boot securizat, ciclul de viață al managementului cheilor și pachetul de audit B2B pe care fabrica îl pune la dispoziția distribuitorilor care trebuie să demonstreze clienților o postură de securitate sustenabilă.

1. Cele trei niveluri de securitate ale creionului de citit

Securitatea creionului de citit este construită pe trei niveluri. Nivelul 1 este dispozitivul, care include boot securizat, stocare criptată și detecție a tentativelor de manipulare. Nivelul 2 este canalul, care include TLS 1.3 în tranzit și fixarea certificatelor (certificate pinning). Nivelul 3 este cloud-ul, care include AES-256 în repaus, rotația cheilor și jurnalizarea de audit.

Fiecare pix de citire din gama conectată implementează toate cele trei niveluri. Numai modelele offline B1, B2, K7, și KF1 implementează doar Nivelul 1, cu boot securizat și stocare criptată pe cardul SD local, dacă există.

Sfat pentru cumpărător: Solicitați întotdeauna raportul de testare a penetrării înainte de a semna un contract pentru o cohortă conectată. O fabrică care nu a investit într-un test de penetrare realizat de o terță parte nu poate răspunde la întrebările echipei dumneavoastră de securitate despre arhitectura de criptare.

2. Matricea posturii de securitate pentru cele unsprezece modele

Postura de securitate variază între cele unsprezece modele de producție, modelele de intrare mai vechi bazându-se pe un lanț de încredere exclusiv software, iar flagship-urile mai noi adăugând un element hardware securizat. Matricea de mai jos rezumă postura pentru fiecare model.

Modelele Q8, T2, și Y6 sunt singurele modele cu un element securizat hardware TPM 2.0 complet și o rețea mesh de detectare a tentativelor de manipulare. Acestea sunt modelele recomandate pentru implementări în școli care necesită un nivel ridicat de securitate și sunt singurele modele care îndeplinesc standardul european EN 18031 de cibersecuritate pentru dispozitive conectate.

3. AES-256 în repaus

Fiecare stilou de citire conectat stochează memoria cache de telemetrie, fișierul de licență și conținutul descărcat într-o partiție criptată AES-256-XTS pe memoria flash internă. Cheia de criptare este derivată dintr-o cheie unică hardware (HUK) și o valoare de diversificare per cohortă, ceea ce înseamnă că aceeași cheie nu apare niciodată pe două dispozitive. Această proprietate se numește unicitatea cheii per dispozitiv și limitează impactul oricărei compromiteri de cheie la un singur dispozitiv.

Fabrica utilizează modul AES-256-XTS pentru stocarea în vrac, deoarece este standardul pentru criptarea integrală a discului, și modul AES-256-GCM pentru datele structurate, deoarece oferă criptare autentificată. HUK este generat la testarea pe wafer și este integrat în elementul securizat în timpul SMT, ceea ce înseamnă că cheia nu părăsește cipul în text clar.

4. TLS 1.3 în tranzit

Fiecare pix de citire care se conectează la cloud utilizează TLS 1.3 cu fixarea certificatului X.509. Fixarea este aplicată împotriva unui certificat rădăcină din fabrică și a unui certificat rădăcină de rezervă, ambele fiind semnate cu RSA-2048. Setul de cifre TLS 1.3 este TLS_AES_256_GCM_SHA384, care oferă secretizare directă și criptare autentificată.

O strângere de mână TLS cu POP-ul regional durează între 240 ms și 480 ms, în funcție de latența dus-întors. Odată ce strângerea de mână este finalizată, dispozitivul deschide o conexiune HTTP/2 de streaming cu 16 fluxuri multiplexate, ceea ce permite actualizarea delta, încărcarea telemetriei și verificarea licenței să aibă loc în paralel.

5. Lanț de boot securizat

Fiecare pix de citire conectat implementează un lanț de boot securizat care începe la bootloader-ul imutabil din elementul securizat și se termină la firmware-ul aplicației. Fiecare etapă verifică semnătura etapei următoare împotriva unei chei rădăcină stocate în elementul securizat. Dacă vreo semnătură eșuează, dispozitivul se oprește și refuză să booteze.

Imaginea firmware este semnată cu cheia rădăcină din fabrică la momentul lansării, iar semnătura este verificată la fiecare pornire. O resetare la setările din fabrică re-flash-uiește firmware-ul din imaginea semnată, ceea ce înseamnă că un dispozitiv compromis poate fi întotdeauna readus la o stare bună cunoscută de către un tehnician de teren cu un cablu de debug USB-C și cheia de custodie din fabrică.

6. Key Management Lifecycle

Fabrica operează un serviciu de gestionare a cheilor care emite, rotește și revocă cheile de licență per-coortă, certificatele per-dispozitiv și certificatele TLS ale serverului. Serviciul este conform FIPS 140-2 și este auditat anual de un evaluator terț.

O compromitere a unei chei declanșează o revocare imediată în toate POP-urile și o notificare push către fiecare dispozitiv că certificatul a fost revocat. Dispozitivul solicită apoi un certificat nou la următoarea fereastră de sincronizare, ceea ce închide fereastra de compromitere în mai puțin de 24 de ore.

7. Penetration Test Results

Fabrica comandă un test anual de penetrare de la un evaluator terț specializat în electronice de consum conectate. Testul din 2025 a durat 6 săptămâni și a acoperit firmware-ul, stiva radio, API-ul cloud și infrastructura POP. Testul a identificat 14 constatări, dintre care 2 critice, 4 ridicate, 6 medii și 2 scăzute. Toate constatările critice și ridicate au fost remediate în termen de 90 de zile.

Pen testul din 2026 este programat pentru T3 și va acoperi noua rețea Y6 de detectare a tentativelor de manipulare și viitorul punct de prezență din Mexico City. Raportul pen test este disponibil sub NDA pentru orice distribuitor cu o cohortă activă de peste 1.000 de dispozitive.

8. Pachet de audit de securitate B2B

Fabrica pune la dispoziție un pachet de audit de securitate pentru fiecare distribuitor cu o cohortă conectată activă. Pachetul include raportul pen test, diagrama de arhitectură, politica de gestionare a cheilor, planul de răspuns la incidente și atestarea boot-ului securizat. Pachetul este revizuit trimestrial și este actualizat după fiecare pen test sau eveniment de securitate semnificativ.

Raportul SOC 2 Tip II este furnizat de furnizorul de cloud care găzduiește POP-urile regionale. Raportul SOC 2 pentru 2025 acoperă 12 luni de operațiuni în POP-urile din Frankfurt, Singapore, Dubai, São Paulo, Lagos și Tokyo, fără excepții înregistrate.

9. Lacune de securitate frecvente pe care le identificăm în programele distribuitorilor

În cele peste 230 de implementări pentru distribuitori, echipa de securitate a fabricii a identificat șase lacune frecvente care creează expunere. Lacunele sunt enumerate în ordinea frecvenței.

Cea mai frecventă lacună este fallback-ul TLS 1.2, care este uneori activat de distribuitorii care doresc să suporte routere Wi-Fi mai vechi. Recomandarea fabricii este de a solicita întotdeauna TLS 1.3 și de a implementa un flux separat de portal captiv pentru routerele mai vechi.

10. Listă de verificare înainte de activarea unei cohorte conectate

Înainte de activarea unei cohorte conectate, echipa de securitate a fabricii solicită distribuitorului să confirme șapte elemente. Un răspuns negativ la oricare dintre ele trebuie soluționat înainte ca cohorta să fie pusă în funcțiune.

1. TLS 1.3 impus: fallback-ul TLS 1.2 este dezactivat la nivelul POP edge.
2. Certificate pinning activat: firmware-ul dispozitivului are certificate pinning aplicat.
3. Audit logging activat: toate evenimentele POP sunt scrise în jurnalul de audit imutabil.
4. Rotirea cheilor activată: rotirea cheii de licență pentru fiecare cohortă este setată la 24 de luni.
5. Raport de pen test actual: cel mai recent raport de pen test are mai puțin de 12 luni.
6. SBOM disponibil: un software bill of materials este înregistrat pentru versiunea de firmware.
7. Plan de răspuns la incidente revizuit: planul comun de răspuns la incidente a fost testat în ultimele 12 luni.

Dacă puteți răspunde cu da la toate cele șapte, cohorta este gata de activare. Dacă puteți răspunde cu da la cinci sau șase, soluționați lacunele împreună cu echipa de securitate a fabricii înainte ca cohorta să fie pusă în funcțiune.

11. Economie eșantion a costurilor de securitate

Costurile de securitate sunt incluse în prețul abonamentului pentru cohortele de peste 1.000 de dispozitive. Pentru cohortele mai mici, aceste costuri sunt disponibile la preț de cost. Structura de preț este concepută astfel încât un distribuitor mic să plătească 0,24 USD per dispozitiv pe an pentru costurile de securitate, ceea ce acoperă alocarea pentru pen test, serviciul de gestionare a cheilor și transmiterea auditului SOC 2.

Un CISO dedicat este disponibil la $4.800 pe lună pentru distribuitorii cu 5.000+ dispozitive. CISO-ul acționează ca persoană de contact desemnată pentru echipa de securitate a distribuitorului și conduce revizuirea trimestrială de securitate. POP-ul dedicat este rezervat distribuitorilor cu 20.000+ dispozitive și adaugă un nivel suplimentar de izolare a rețelei.

Lecturi conexe

• Conformitatea GDPR pentru aplicațiile de reading pen și cloud
• Conformitatea COPPA pentru reading pen-urile conectate
• Confidențialitatea reading pen-ului și conformitatea COPPA
• Sincronizarea în cloud a bibliotecii de conținut pentru reading pen
• Tabloul de bord pentru părinți privind progresul reading pen-ului
• Conformitatea cu confidențialitatea datelor pentru reading pen
• Gestionarea riscului furnizorilor
• Ghid de specificații pentru reading pen Y6