Målgrupp: Den här artikeln vänder sig till säkerhetsarkitekter, IT-chefer, inköpare inom skolvärlden och compliance-ansvariga som behöver en verifierbar teknisk bild av krypteringen, nyckelhanteringen och den säkra starten (secure boot) i det uppkopplade lässpennsortimentet. Den dokumenterar AES-256-kryptering i vila, TLS 1.3-kryptering under transport, maskinvarubaserad säker start och B2B-modellen för nyckelförvaltning.
En uppkopplad lässpenna är en liten dator med mikrofon, Wi-Fi-radio och lång batteritid. Samma säkerhetsarkitektur som skyddar en företagsbärbar dator gäller här, nedskalad till en enhet som kostar 11,40 USD EXW och levereras i en 158 g kartong. Säkerhetsnivån varierar mellan de elva produktionsmodellerna i katalogen beroende på radiokapacitet, firmware-generation och kohortens population. Den här artikeln dokumenterar krypteringsarkitekturen, den säkra startkedjan, nyckelhanteringens livscykel och det B2B-revisionspaket som fabriken tillhandahåller för distributörer som behöver visa upp en verifierbar säkerhetsnivå för sina kunder.
1. De tre lagren i lässpennans säkerhet
Lässpennans säkerhet är uppbyggd i tre lager. Lager 1 är enheten, som omfattar säker start, krypterad lagring och manipulationsdetektering. Lager 2 är kanalen, som omfattar TLS 1.3 under transport och certifikatstiftning (certificate pinning). Lager 3 är molnet, som omfattar AES-256 i vila, nyckelrotation och audit-loggning.
| Lager | Komponent | Standard | Livscykel |
|---|---|---|---|
| Enhet | Säker start | RSA-2048 + SHA-256 | Per firmware |
| Enhet | Krypterad lagring | AES-256-XTS | Per kohort |
| Enhet | Manipulationsdetektering | Spännings- och klockglitch | Kontinuerlig |
| Kanal | Kryptering under transport | TLS 1.3 | Per session |
| Kanal | Certifikatstiftning | SHA-256-pin | Per firmware |
| Moln | Kryptering i vila | AES-256-GCM | Per objekt |
| Moln | Nyckelrotation | Kvartalsvis | 90 dagar |
| Moln | Audit-loggning | Oföränderlig, 7 år | Kontinuerlig |
Varje lässpenna i det uppkopplade sortimentet implementerar alla tre lager. De offline-only B1, B2, K7, och KF1 implementerar endast Lager 1, med säker start och krypterad lagring på det lokala SD-kortet om ett sådant finns.
Inköpares tips: Kräv alltid in penetrationstestrapporten innan du skriver på för en uppkopplad kohort. En fabrik som inte har investerat i ett oberoende penetrationstest kan inte besvara frågor om krypteringsarkitekturen inför ditt säkerhetsteam.
2. Säkerhetsmatris för elva modeller
Säkerhetsnivån varierar mellan de elva produktionsmodellerna, där äldre instegsmodeller förlitar sig på en mjukvarubaserad förtroendekedja och nyare flaggskeppsmodeller lägger till ett maskinvarubaserat säkerhetselement. Matrisen nedan sammanfattar säkerhetsnivån för varje modell.
| Modell | Säker start | HW-säkerhetselement | Krypterad lagring | Manipulationsdetektering |
|---|---|---|---|---|
| B1 | Mjukvara | Nej | Valfritt (SD) | Nej |
| B2 | Programvara | Nej | Valfritt (SD) | Nej |
| F8 | Programvara | Nej | Ja (BT-cache) | Nej |
| K7 | Programvara | Nej | Valfritt (SD) | Nej |
| KF1 | Programvara | Nej | Valfritt (SD) | Nej |
| L5 | Hårdvarustödd | Ja (TPM-liknande) | Ja | Spänningsövervakning |
| P2 | Hårdvarustödd | Ja (TPM-liknande) | Ja | Spänning + klocka |
| Q6 | Hårdvarustödd | Ja (TPM-liknande) | Ja | Spänningsövervakning |
| Q8 | Hårdvara | Ja (TPM 2.0) | Ja | Spänning + klocka + mesh |
| T2 | Hårdvara | Ja (TPM 2.0) | Ja | Spänning + klocka + mesh |
| Y6 | Hårdvara | Ja (TPM 2.0) | Ja | Spänning + klocka + mesh |
The Q8, T2, and Y6 är de enda modellerna med ett fullständigt TPM 2.0-hårdvarusäkerhetselement och ett mesh-baserat nätverk för manipulationsdetektering. Dessa är de rekommenderade modellerna för skolutrullningar som kräver en säkerhetsnivå med hög assurans, och de är de enda modellerna som uppfyller EU-standarden EN 18031 för cybersäkerhet för anslutna enheter.
3. AES-256 i vila
Varje ansluten läs-penna lagrar sin telemetri-cache, licensfil och nedladdat innehåll i en AES-256-XTS-krypterad partition på det interna flashminnet. Krypteringsnyckeln härleds från en hårdvaruspecifik unik nyckel (HUK) och ett diversifieringsvärde per kohort, vilket innebär att samma nyckel aldrig förekommer på två enheter. Denna egenskap kallas per-enhets nyckelunik och begränsar sprängvidden av en enskild nyckelkompromiss till en enhet.
| Storage Item | Encryption | Key Source | Rotation |
|---|---|---|---|
| Telemetry cache | AES-256-XTS | HUK + cohort salt | Per factory reset |
| License file | AES-256-GCM | HUK + cohort salt | Per cohort activation |
| Downloaded content | AES-256-XTS | HUK + cohort salt | Per factory reset |
| Parental consent receipt | AES-256-GCM | HUK + cohort salt | Per consent update |
| Firmware image | RSA-2048 signed | Factory root key | Per release |
Fabriken använder AES-256-XTS-läget för masslagring eftersom det är standarden för fullständig diskkryptering, och AES-256-GCM-läget för strukturerad data eftersom det erbjuder autentiserad kryptering. HUK:n genereras vid wafertest och bränns in i säkerhetselementet under SMT, vilket innebär att nyckeln aldrig lämnar chipet i klartext.
4. TLS 1.3 in Transit
Varje läs-penna som ansluter till molnet använder TLS 1.3 med fästning av X.509-certifikat. Fästningen sker mot ett fabriksrotcertifikat och ett reservrotcertifikat, som båda är signerade med RSA-2048. TLS 1.3-chiffersviten är TLS_AES_256_GCM_SHA384, vilket ger framåtsekretess och autentiserad kryptering.
| TLS Parameter | Value | Notes |
|---|---|---|
| Protocol version | TLS 1.3 | RFC 8446 |
| Cipher suite | TLS_AES_256_GCM_SHA384 | AEAD |
| Key exchange | X25519 | ECDHE |
| Authentication | RSA-2048 | Pinned |
| Certificate lifetime | 90 days | Auto-rotated |
| OCSP stapling | Yes | Revocation check |
| Renegotiation | Disabled | TLS 1.3 default |
En TLS-handskakning med den regionala POP:n tar mellan 240 ms och 480 ms, beroende på tur- och returtid. När handskakningen är klar öppnar enheten en HTTP/2-strömningsanslutning med 16 multiplexade strömmar, vilket gör att deltauppdateringen, telemetriuppladdningen och licenskontrollen kan ske parallellt.
5. Secure Boot Chain
Varje ansluten läs-penna implementerar en säker startkedja som börjar i den oföränderliga startladdaren i säkerhetselementet och slutar i applikationens firmware. Varje steg verifierar signaturen för nästa steg mot en rotnyckel som lagras i säkerhetselementet. Om någon signatur misslyckas stannar enheten och vägrar att starta.
| Boot Stage | Verifies | Root Key | Stored In |
|---|---|---|---|
| ROM bootloader | First-stage boot | Fabriksrot | ROM |
| Första stegets start | Andra stegets start | Fabriksrot | Säkerhetselement |
| Andra stegets start | Firmware-avbild | Fabriksrot | Säkerhetselement |
| Firmware-avbild | Applikation | Fabriksrot | Krypterad flash |
Firmware-avbilden signeras med fabriksrotnyckeln vid release, och signaturen verifieras vid varje uppstart. En fabriksåterställning flashar om firmware från den signerade avbilden, vilket innebär att en komprometterad enhet alltid kan återställas till ett känt gott skick av en fälttekniker med en USB-C-felsökningskabel och fabrikens nyckeldeposition.
6. Nyckelhanteringens livscykel
Fabriken driver en nyckelhanteringstjänst som utfärdar, roterar och återkallar kohortspecifika licensnycklar, enhetsspecifika certifikat samt TLS-servercertifikat. Tjänsten är FIPS 140-2-kompatibel och granskas årligen av en oberoende revisor.
| Nyckeltyp | Utfärdad | Roterad | Återkallad |
|---|---|---|---|
| Kohortlicensnyckel | Per kohort | 24 månader | Vid kohortens slut |
| Enhetscertifikat | Per enhet | 90 dagar | Vid fabriksåterställning |
| TLS-servercertifikat | Per POP | 90 dagar | Vid kompromettering |
| Fabriksrotnyckel | Per fabrik | Årligen | Vid kompromettering |
| Säkerhetskopierad rotnyckel | Per fabrik | Årligen | Vid kompromettering |
En nyckelkompromettering utlöser omedelbar återkallelse över alla POP:er och en push-notis till varje enhet om att certifikatet har återkallats. Enheten begär då ett nytt certifikat vid nästa synkroniseringsfönster, vilket stänger komprometteringsfönstret inom 24 timmar.
7. Resultat av penetrationstest
Fabriken beställer ett årligt penetrationstest från en oberoende revisor som specialiserar sig på uppkopplad konsumentelektronik. 2025 års test pågick i 6 veckor och täckte firmware, radiostacken, moln-API:et och POP-infrastrukturen. Testet fann 14 fynd, varav 2 var kritiska, 4 var höga, 6 var medelhöga och 2 var låga. Alla kritiska och höga fynd åtgärdades inom 90 dagar.
| Fynd | Allvarlighetsgrad | Status |
|---|---|---|
| Buffertöverskridning i ljuddrivrutinen | Kritisk | Åtgärdat |
| Replay-attack mot licensaktivering | Kritisk | Åtgärdat |
| Förbigående av TLS-certifikatspinning | Hög | Åtgärdat |
| Förbigående av API-hastighetsbegränsning | Hög | Åtgärdat |
| Exponering av licensnyckeldeposition | Hög | Åtgärdad |
| Manipulering av auditlogg | Hög | Åtgärdad |
| XSS i skoldashboard | Medium | Åtgärdad |
| Öppen omdirigering i föräldraapp | Medium | Åtgärdad |
| Informationsläckage i felmeddelande | Medium | Åtgärdad |
| Otillräcklig lösenordskomplexitet | Medium | Åtgärdad |
| Sessionsfixering | Medium | Åtgärdad |
| Saknar säkerhetshuvuden | Medium | Åtgärdad |
| Utförliga felmeddelanden | Låg | Åtgärdad |
| Clickjacking på inloggning | Låg | Åtgärdad |
Pen-testet 2026 är planerat till Q3 och kommer att omfatta det nya Y6 mesh-nätverket för upptäckt av manipulering samt den kommande POP-platsen i Mexico City. Pen-testrapporten finns tillgänglig under NDA för alla distributörer med en aktiv kohort om 1 000+ enheter.
8. B2B Security Audit Pack
Fabriken tillhandahåller ett security audit pack till varje distributör med en aktiv ansluten kohort. Paketet inkluderar pen-testrapporten, arkitekturdiagrammet, nyckelhanteringspolicyn, incidenthanteringsplanen och secure boot-attesteringen. Paketet granskas kvartalsvis och uppdateras efter varje pen-test eller betydande säkerhetshändelse.
| Dokument | Ägare | Uppdateringsfrekvens |
|---|---|---|
| Pen-testrapport | Tredjepartsbedömare | Årligen |
| Arkitekturdiagram | Fabrik | Kvartalsvis |
| Nyckelhanteringspolicy | Fabrik | Årligen |
| Incidenthanteringsplan | Fabrik | Årligen |
| Secure boot-attestering | Fabrik | Per firmware |
| SBOM (software bill of materials) | Fabrik | Per firmware |
| Policy för sårbarhetsrapportering | Fabrik | Årligen |
| SOC 2 Type II-rapport | Molnleverantör | Årlig |
SOC 2 Type II-rapporten tillhandahålls av den molnleverantör som är värd för de regionala POP:erna. SOC 2-rapporten för 2025 täcker 12 månaders drift i POP:erna i Frankfurt, Singapore, Dubai, São Paulo, Lagos och Tokyo, utan några anmärkningar.
9. Vanliga säkerhetsluckor vi hittar i distributörsprogram
Bland våra 230+ distributörsdistributioner har fabrikens säkerhetsteam identifierat sex vanliga luckor som skapar exponering. Luckorna är listade i frekvensordning.
| Lucka | Frekvens | Risk | Åtgärd |
|---|---|---|---|
| TLS 1.2-fallback aktiverad | 18 % av installationerna | Hög | Inaktivera TLS 1.2 |
| Certifikatspinning förbigången | 12 % | Hög | Återaktivera pinning |
| Granskningslogg inte aktiverad | 9 % | Medium | Aktivera loggning |
| Nyckelrotation inaktiverad | 6 % | Hög | Aktivera rotation |
| Penetrationstestrapport inaktuell | 6 % | Medium | Uppdatera rapporten |
| Firmware inaktuell | 4 % | Hög | Skicka firmwareuppdatering |
Det vanligaste glappet är TLS 1.2-fallback, som ibland aktiveras av distributörer som vill stödja äldre Wi-Fi-routrar. Fabrikens rekommendation är att alltid kräva TLS 1.3 och att distribuera ett separat captive portal-flöde för äldre routrar.
10. Beslutschecklista innan en uppkopplad kohort aktiveras
Innan en uppkopplad kohort aktiveras kräver fabrikens säkerhetsteam att distributören bekräftar sju punkter. Ett nej på någon punkt måste åtgärdas innan kohorten tas i drift.
- TLS 1.3 verkställt: TLS 1.2-fallback är inaktiverad vid POP-kanten.
- Certifikatpinnning aktiverad: enhetens firmware har certifikatpinnning verkställd.
- Revisionsloggning aktiverad: alla POP-händelser skrivs till den oföränderliga revisionsloggen.
- Nyckelrotation aktiverad: rotationen av licensnyckeln per kohort är inställd på 24 månader.
- Penetrationstestrapport aktuell: den senaste penetrationstestrapporten är mindre än 12 månader gammal.
- SBOM tillgänglig: en programvaruförteckning (SBOM) finns dokumenterad för den fasta programvarans version.
- Incidenthanteringsplan granskad: den gemensamma incidenthanteringsplanen har testats under de senaste 12 månaderna.
Om du kan svara ja på alla sju är kohorten redo att aktiveras. Om du kan svara ja på fem eller sex, åtgärda luckorna tillsammans med fabrikens säkerhetsteam innan kohorten tas i drift.
11. Exempel på ekonomi för säkerhetsrelaterade tilläggskostnader
Säkerhetstilläggskostnaden ingår i abonnemangspriset för kohorter över 1 000 enheter. För mindre kohorter erbjuds tilläggskostnaden till självkostnadspris. Prisstrukturen är utformad så att en liten distributör betalar 0,24 USD per enhet och år för säkerhetstilläggskostnaden, vilket täcker penetrationstestallokeringen, nyckelhanteringstjänsten och vidarefaktureringen av SOC 2-revisionen.
| Kohortstorlek | Säkerhetspaket ingår | Tilläggskostnad / enhet / år |
|---|---|---|
| Under 1 000 | Till självkostnadspris | 0,24 USD |
| 1 000 till 5 000 | Ingår | $0.00 |
| 5 000 till 20 000 | Ingår + dedikerad CISO | $0.00 + $4 800 / månad |
| 20 000 till 50 000 | Ingår + dedikerad POP | $0.00 + POP + $4 800 / månad |
| Över 50 000 | Ingår + dedikerad moln | $0.00 + $24 000 / månad |
En dedikerad CISO finns tillgänglig för $4 800 per månad för distributörer med 5 000+ enheter. CISO:en är utnämnd kontaktperson för distributörens säkerhetsteam och leder den kvartalsvisa säkerhetsgenomgången. Den dedikerade POP:en är reserverad för distributörer med 20 000+ enheter och ger ett extra lager av nätverksisolering.
Relaterad läsning
- GDPR-efterlevnad för läs pennappar och moln
- COPPA-efterlevnad för uppkopplade läs pennor
- Integritet och COPPA-efterlevnad för läs pennor
- Molnsynkronisering av läs pennans innehållsbibliotek
- Föräldrars framstegs dashboard för läs penna
- Datasekretess och efterlevnad för läs pennor
- Leverantörsriskhantering
- Y6 läs penna specifikationsguide