กระบวนการอัปเดตแพตช์ CVE และการเปิดเผยช่องโหว่ของปากกาอ่าน: จากการรับข้อมูล NVD สู่การเปิดตัว OTA ภายใน 21 วัน

กลุ่มผู้อ่าน

บทความนี้เหมาะสำหรับผู้อำนวยการฝ่ายความปลอดภัยไอที, ผู้บริหารฝ่ายสารสนเทศของเขตพื้นที่การศึกษา, เจ้าหน้าที่จัดซื้อของ OEM และผู้รับผิดชอบด้านการปฏิบัติตามข้อกำหนด ที่ต้องการเข้าใจเวิร์กโฟลว์การจัดการ CVE แบบครบวงจรเบื้องหลังปากกาอ่านหนังสือสมัยใหม่จากจีน บทความอธิบายว่าทีม ODM ของเราดูดซับข้อมูลช่องโหว่อย่างไร, จับคู่กับส่วนประกอบของเฟิร์มแวร์, ออกแพตช์ และเปิดให้อัปเดตบนอุปกรณ์รุ่น K7, F8, B2, Y6, Q8 และ L5 ที่ติดตั้งใช้งานจริงโดยไม่กระทบการเรียนในห้องเรียน ผู้อ่านควรมีความคุ้นเคยเบื้องต้นกับ NVD, GitHub Security Advisories และแนวคิดการอัปเดตผ่าน OTA แต่ไม่จำเป็นต้องมีพื้นฐานเฉพาะทางด้านการตอบสนองต่อเหตุการณ์

การติดตั้งใช้งาน 50,000 หน่วยในเขตพื้นที่การศึกษาถือเป็นการทดสอบความทนทานของไปป์ไลน์อัปเดตใดๆ แพตช์ที่มาถึงกลางคาบเรียนจะขัดจังหวะการอ่าน, ทำให้เด็กอายุ 7 ขวบสับสน และสร้างสายโทรศัพท์เข้าHelp Desk ในตอน 8 โมงเช้า ที่แย่ไปกว่านั้นคือ OTA ที่จัดสเตจไม่ดีอาจทำให้อุปกรณ์กลายเป็นอิฐในตู้ชาร์จข้ามคืน วงจรชีวิตแพตช์ CVE สำหรับปากกาอ่านหนังสือจึงต้องทั้งรวดเร็ว (เพราะ CVE เคลื่อนที่ด้วยความเร็วอินเทอร์เน็ต) และนุ่มนวล (เพราะผู้ใช้ปลายทางคือเด็ก) บทความนี้จะพาท่านผ่านกระบวนการที่เราปรับปรุงจนเชี่ยวชาญตลอด 9 เจเนอเรชันการผลิตของเฟิร์มแวร์ K7 และ 4 เจเนอเรชันของ F8 และ Y6

สี่ขั้นตอนของวงจรชีวิต CVE

เราจัดโครงสร้างงานออกเป็นสี่ขั้นตอน โดยแต่ละขั้นมี SLA และผู้รับผิดชอบที่ชัดเจน:

ช่องโหว่ที่ได้คะแนน ≥7.0 จาก CVSS 3.1 และมี exploit สาธารณะ (อยู่ในรายการ CISA KEV) จะถูกยกระดับเป้าแพตช์เป็น 72 ชั่วโมง ส่วน CVE ระดับปานกลางที่ไม่มี exploit จะไปรถไฟรีลีสรายไตรมาสถัดไป

ขั้นตอนที่ 1: การรับข้อมูลช่องโหว่รายวัน

ทุกเช้าเวลา 04:00 UTC งาน cron บนเซิร์ฟเวอร์ออร์เคสเตรชันความปลอดภัยของเราจะดึงข้อมูลจากแปดฟีด:

• ฟีด NVD CVE JSON 2.0 — แหล่ง CVE หลัก, เฉลี่ยประมาณ 280 CVE ใหม่ต่อวัน
• คำแนะนำด้านความปลอดภัยของ GitHub (GHSA) — มักนำหน้า NVD สำหรับแพ็กเกจโอเพนซอร์ส
• OSV.dev — ดูแลโดยชุมชน พร้อมรายการที่ใช้ purl เพื่อจับคู่กับ SBOM โดยตรง
• ช่องโหว่ที่ถูกโจมตีแล้ว (KEV) ของ CISA — เส้นทางยกระดับเมื่อมีการใช้งาน exploit ในโลกจริง
• โน้ตช่องโหว่ CERT\/CC — การเปิดเผยที่ประสานงานกับผู้ขายหลายราย
• ฟีดความปลอดภัยของ Alpine, Debian และ Buildroot — หลักฐานที่ได้รับการรับรองจากดิสโทร
• ฟีด PSIRT ของผู้ขาย— Allwinner, Rockchip, Realtek, Goodix, Bestechnic
• ผลการทดสอบเจาะระบบภายใน — รายงาน Red Team โดยบุคคลที่สามรายครึ่งปี

ปริมาณการรับข้อมูลอยู่ที่ประมาณ 280 ถึง 350 CVE ต่อวัน โดยประมาณ 35 ถึง 50 รายการตรงกับส่วนประกอบที่มีอยู่ใน SBOM ที่ใช้งานอยู่ของเรา ลอจิกการจับคู่ใช้ CPE 2.3, purl และไตรเปิลชื่อแพ็กเกจ + เวอร์ชัน ตามลำดับความสำคัญ

ขั้นตอนที่ 2: เวิร์กโฟลว์การคัดแยกและ SLA

CVE ที่จับคู่ได้จะถูกมอบหมายให้วิศวกรความปลอดภัยภายใน 4 ชั่วโมง วิศวกรจะจัดทำบันทึกการคัดแยกซึ่งประกอบด้วย:

1. SKU ที่ได้รับผลกระทบ — รุ่นใดใน 11 รุ่นในแคตตาล็อกของเรา (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6) ที่ใช้ส่วนประกอบที่ได้รับผลกระทบ
2. เวอร์ชันเฟิร์มแวร์ที่ได้รับผลกระทบ — ช่วง v3.x หรือ v4.x ที่เจาะจง
3. การประเมินความสามารถในการ exploit — CVE นั้นเข้าถึงได้จากอินเทอร์เฟซเครือข่ายของอุปกรณ์หรือไม่
4. การลดความเสี่ยงที่มีอยู่ — นโยบาย SELinux, กฎไฟร์วอลล์, การปิดแฟล็กฟีเจอร์ที่อาจบล็อกเส้นทางอยู่แล้ว
5. ความซับซ้อนของแพตช์ — จำนวนบรรทัดโค้ดที่เปลี่ยน, ความเสี่ยงจากรีเกรสชัน, พื้นที่ทดสอบ

SLA การคัดแยกคือ 24 ชั่วโมงสำหรับวิกฤต, 72 ชั่วโมงสำหรับสูง, 5 วันสำหรับปานกลาง เราวัดและเผยแพร่ค่ามัธยฐานเวลาคัดแยกบนแดชบอร์ดสาธารณะ — ปัจจุบันอยู่ที่ 11 ชั่วโมงสำหรับ CVE ระดับวิกฤต

การให้คะแนน CVSS และการปรับระดับความรุนแรง

เราใช้ CVSS 3.1 เป็นคะแนนฐาน แต่จะปรับด้วย "ระดับความรุนแรงที่ปรับแล้ว" ภายในซึ่งสะท้อนบริบทการใช้งานจริงของปากกาอ่านหนังสือ:

• ช่องโหว่ CVE เครือข่าย ได้รับการปรับ +0.5 เนื่องจากปากกาอ่านหนังสือส่วนใหญ่เชื่อมต่อผ่าน Wi-Fi ของโรงเรียนหรือบ้านภายใต้ NAT
• ช่องโหว่ CVE ในเครื่อง ที่ต้องเข้าถึง USB โดยตรงจริง ได้รับการปรับ -1.0
• ช่องโหว่ CVE ด้านการเข้ารหัส ที่ส่งผลกระทบต่อชุดรหัสเก่าที่ถูกปิดใช้งานไปแล้วในเฟิร์มแวร์ของเรา ได้รับการปรับ -1.5
• ช่องโหว่ CVE ที่ต้องอาศัยการโต้ตอบจากผู้ใช้ (ฟิชชิ่ง) ได้รับการปรับ -0.5 เนื่องจากผู้ใช้ปลายทางคือเด็กที่ไม่คลิกลิงก์

CVE ที่มีคะแนนฐาน 8.1 อาจถูกปรับลงเหลือ 6.5 ในขณะที่ CVE ฐาน 6.8 ที่มีรายชื่อใน KEV และมีการโจมตีจริง จะถูกปรับขึ้นเหลือ 7.5+ เนื่องจากโมดิฟายเออร์ KEV +1.0

ระยะที่ 3: การพัฒนาแพตช์และการทดสอบ

เมื่อแพตช์ได้รับอนุมัติ ทีมวิศวกรรมเฟิร์มแวร์จะแยกสาขา hotfix ออกจากแท็กเวอร์ชันใช้งานจริงล่าสุด โดยแพตช์ต้องผ่านด่านตรวจสอบ 4 ขั้นก่อนจะถูกเซ็นเพื่อส่งผ่าน OTA

ด่านที่ 1: การวิเคราะห์โค้ดแบบสถิต

Coverity Scan 2024.03 และ CodeQL 2.16.3 ทำงานบนทุกแพตช์ คำเตือนใหม่ที่ระดับ "High" จะบล็อกแพตช์ คำเตือนที่มีอยู่เดิมต้องได้รับการแก้ไขภายใน 90 วัน มิเช่นนั้นแพตช์จะถูกระงับ

ด่านที่ 2: การทดสอบยูนิตและการทดสอบบูรณาการ

ชุดทดสอบเฟิร์มแวร์ของเรามีการทดสอบยูนิตมากกว่า 14,200 รายการ ครอบคลุมเอนจิน ASR, ไปป์ไลน์ TTS, สแต็ก Bluetooth, ตัวจัดการ Wi-Fi, เลเยอร์ OCR และตัวจัดการอัปเดต แพตช์ต้องผ่านการทดสอบ 100% เกณฑ์ความครอบคลุมขั้นต่ำคือ 78% บรรทัด / 71% สาขา แพตช์ที่ทำให้ความครอบคลุมลดลงจะถูกปฏิเสธ

ด่านที่ 3: การทดสอบความเสถียร 48 ชั่วโมง

เฟิร์มแวร์ที่แพตช์แล้วจะทำงานบนเครื่องอ้างอิง 240 เครื่อง (รุ่นที่ใช้งานอยู่ทุกรุ่น 20 เครื่องในห้องปฏิบัติการของเรา) เป็นเวลา 48 ชั่วโมงภายใต้สถานการณ์การใช้งานจำลอง โดยตรวจวัดเมตริกดังนี้:

• อัตราการยอมรับคำปลุกผิด (เป้าหมาย: <0.3 ต่อชั่วโมง)
• อัตราความผิดพลาดของคำใน ASR(เป้าหมาย: <5.2% ในชุดย่อย TIMIT-children)
• การใช้พลังงานแบตเตอรี่ (เป้าหมาย: <2.1% ต่อชั่วโมงในโหมดไม่ใช้งาน)
• ความน่าเชื่อถือของการอัปเดต (เป้าหมาย: สำเร็จ 100% ในการสลับ A/B แบบดูอัลแบงก์)
• อุณหภูมิ (เป้าหมาย: พื้นผิว <41.2 °C ที่อุณหภูมิแวดล้อม 30 °C)

หากเมตริกใดถดถอย แพตช์จะถูกบล็อกและย้อนกลับไปยังสาขาพัฒนา

ด่านที่ 4: การทดสอบรีเกรสชันด้านความปลอดภัย

ชุดทดสอบรีเกรสชัน CVE ทั้งหมดจะทำงานซ้ำเพื่อยืนยันว่าการแก้ไขปิดช่องโหว่ได้จริงและไม่ก่อให้เกิดช่องโหว่ใหม่ เราดูแลคลังกรณีทดสอบ reproducer มากกว่า 1,200 รายการสำหรับ CVE ตั้งแต่ปี 2018 แพตช์ใหม่ต้องไม่ทำให้ CVE ที่ปิดไปแล้วกลับมาอีก

ระยะที่ 4: การทยอยอัปเดต OTA แบบหลายขั้น

เมื่อแพตช์ผ่านทั้ง 4 ด่าน แพตช์จะเข้าสู่ช่อง OTA staging ปากกาอ่านหนังสือในสนามจะตรวจสอบอัปเดตทุก 6 ชั่วโมงเมื่ออยู่บน Wi-Fi และทุก 24 ชั่วโมงเมื่ออยู่บนเครือข่ายเซลลูลาร์ (เฉพาะแพลตฟอร์ม Y6) โดยการทยอยอัปเดตเป็นไปตามขั้นบันได 4 ขั้น:

ฝูงอุปกรณ์ Canary ประกอบด้วยอุปกรณ์ 480 เครื่องกระจายอยู่ในโรงเรียนพันธมิตร 12 แห่ง กระจายตัวอย่างสมดุลทางภูมิศาสตร์ในอเมริกาเหนือ สหภาพยุโรป และเอเชียแปซิฟิก อัตราล้มเหลวคำนวณจาก (อุปกรณ์ที่ใช้งานไม่ได้ + อุปกรณ์ที่ค้างที่การบู๊ต + รายงานถดถอยของฟังก์ชันสำคัญ) / จำนวนอุปกรณ์ทั้งหมดในกลุ่ม

การทยอยอัปเดตที่ถูกหยุดชะงักจะได้รับการตรวจสอบภายใน 4 ชั่วโมง หากปัญหาสามารถทำซ้ำได้บนฮาร์ดแวร์ในห้องปฏิบัติการ เฟิร์มแวร์จะถูกเรียกคืนและเริ่มรอบแพตช์ใหม่ หากปัญหาเฉพาะเจาะจงกับฝูงอุปกรณ์ (เช่น captive portal ของเขตพื้นที่บล็อกปลายทาง OTA) การทยอยอัปเดตจะดำเนินต่อไปสำหรับเขตที่ไม่ได้รับผลกระทบ

การสลับ A/B แบบดูอัลแบงก์

ทุกอุปกรณ์ K7, F8, Y6 ใช้แฟลช SPI NOR แบบดูอัลแบงก์ (รวม 32 MB หรือ 64 MB, 16/32 MB ต่อแบงก์) การอัปเดตจะเขียนอิมเมจใหม่ลงในแบงก์ที่ไม่ได้ใช้งาน ตรวจสอบลายเซ็น ECDSA-P256 แล้วสลับแฟล็กของ bootloader ให้ชี้ไปยังแบงก์ใหม่ในการรีบู๊ตครั้งถัดไป หากอิมเมจใหม่บู๊ตไม่สำเร็จ 3 ครั้งติดต่อกัน bootloader จะย้อนกลับไปยังแบงก์เดิมโดยอัตโนมัติ

การออกแบบ A/B นี้ทำให้เรามีเส้นทางการกู้คืนโดยไม่ต้องส่งช่างไปหน้าจบาง แพตช์ที่ไม่ดีจะไม่สามารถทำให้ฝูงอุปกรณ์ใช้งานไม่ได้ — ในกรณีที่แย่ที่สุดคือเสียรอบการรีบู๊ตไปหนึ่งครั้ง

ข้อตกลงระดับการให้บริการด้านการแจ้งลูกค้า

เราเผยแพร่นโยบายการเปิดเผยช่องโหว่ที่ /security/disclosure.html และแจ้งลูกค้าตามกำหนดการต่อไปนี้:

อีเมลแจ้งเตือนประกอบด้วย: CVE ID, คะแนน CVSS พื้นฐานและคะแนนปรับปรุง, SKU ที่ได้รับผลกระทบและช่วงเวอร์ชันเฟิร์มแวร์, สถานะการบรรเทาปัญหา, วันที่คาดว่าจะปล่อยแพตช์, และช่องทางติดต่อสำหรับขอรับแพตช์ที่ลงนามแล้วก่อนเปิดตัวสาธารณะภายใต้ MNDA

ผู้ซื้อที่มีสัญญาบำรุงรักษาที่ใช้งานอยู่ (ปัจจุบันคิดเป็น 84% ของการใช้งาน K7) จะได้รับแพตช์ก่อนการปล่อย OTA สู่สาธารณะ 7 วัน เพื่อให้สามารถจัดเตรียมการตรวจสอบภายในได้

การเปิดเผยร่วมกับนักวิจัย

เรารับรายงานช่องโหว่ผ่านทาง [email protected] และผ่านโปรแกรม HackerOne ของเรา (smartreadingpen program ID #H1-SRP-2023) รายงานจากนักวิจัยจะได้รับการตอบรับภายใน 24 ชั่วโมงและคัดกรองภายใน 72 ชั่วโมง เรามุ่งมั่นที่จะ:

• ยืนยันหรือหักล้างรายงานภายใน 14 วัน
• พัฒนาแพตช์ภายใน 90 วันสำหรับปัญหาระดับสูง/วิกฤต หรือระบุไทม์ไลน์ที่ยาวกว่า
• ระบุชื่อนักวิจัยในรายงานความโปร่งใสประจำปี เว้นแต่นักวิจัยร้องขอไม่ให้เปิดเผยตัว
• ไม่ดำเนินการทางกฎหมายกับนักวิจัยที่ปฏิบัติโดยสุจริตภายใต้นโยบายของเรา

รายงานความโปร่งใสประจำปี 2024 ได้บันทึกรายงานที่ถูกต้อง 14 ฉบับจากนักวิจัยภายนอก โดยมีเวลาแก้ไขเฉลี่ย 41 วันสำหรับปัญหาระดับความรุนแรงสูง ค่าตอบแทนสูงสุดที่จ่ายให้นักวิจัยรายเดียวคือ $4,800 สำหรับการค้นพบการข้ามผ่านการจับคู่ Bluetooth บนแพลตฟอร์ม F8

ไทม์ไลน์การเปิดเผยข้อมูลจากเหตุการณ์จริง

เพื่อให้เห็นภาพชัดเจน นี่คือไทม์ไลน์จริงจากเหตุการณ์ในปี 2025 ที่เกี่ยวข้องกับ CVE สมมติของ Wi-Fi (W-2):

แบบครบวงจร: 25 วัน นับจาก NVD ประกาศจนถึงการอัปเดตครบ 100% ค่ามัธยฐานตลอดปี 2024: 28 วัน

เมทริกซ์ที่เราติดตามและเผยแพร่

แดชบอร์ดความปลอดภัยผลิตภัณฑ์ที่ /security/metrics.html แสดงข้อมูลดังนี้:

• ระยะเวลาเฉลี่ยในการคัดกรอง (MTTT) — ค่ามัธยฐาน 11 ชั่วโมงสำหรับ CVE ระดับวิกฤต
• ระยะเวลาเฉลี่ยในการออกแพตช์ (MTTP) — ค่ามัธยฐาน 9 วันสำหรับระดับวิกฤต และ 19 วันสำหรับระดับสูง
• อัตราการใช้แพตช์ — 91.4% ของกองทัพอุปกรณ์ K7 อยู่บนเฟิร์มแวร์ปัจจุบันภายใน 60 วัน
• งานค้างของ CVE — ขณะนี้มี CVE ระดับกลางค้างอยู่ 4 รายการ รอการปล่อยรายไตรมาสถัดไป
• อัตราตรงกันของบิวด์ที่ทำซ้ำได้— 100% ใน K7, F8, Y6
• การรักษา SLA ต่อลูกค้า — 96.7% ของการแจ้งเตือนระดับวิกฤต ภายใน 24 ชั่วโมง

ผู้ซื้อที่เชื่อมต่อกับฟีด SBOM ของเรา (ดู TC-148) สามารถสมัครรับการแจ้งเตือน VEX ได้ที่ /vex/feed.json และให้อินสแตนซ์ dependency-track หรือ GUAC แจ้งเตือนโดยอัตโนมัติเมื่อมี CVE ใหม่ที่ตรงกับ SKU ที่ติดตั้งใช้งาน

โครงข่ายลิงก์ภายใน

ผู้อ่านที่ต้องการสร้างภาพรวมที่ครบถ้วนเกี่ยวกับสถานะความปลอดภัยของเรา ควรตรวจสอบเพิ่มเติมที่:

• TC-148 — การโจมตีซัพพลายเชนและ SBOM — จุดที่การจับคู่ CVE เกิดขึ้น
• TC-146 — การเพิ่มความทนทานต่อ Fault Injection และ Glitch Attack — การโจมตีเลเยอร์กายภาพที่สามารถหลีกเลี่ยงแพตช์ซอฟต์แวร์ได้
• TC-147 — การปิด JTAG และการล็อกอินเทอร์เฟซดีบัก — เลเยอร์ระดับอุปกรณ์ที่ทำให้แพตช์มีความน่าเชื่อถือ
• ปากกาอ่านหนังสือ AI Tutor Y6 — SKU ที่มีพื้นที่โจมตีสูงที่สุด กระบวนการ CVE ถูกทดสอบหนักที่สุดที่นี่
• อุตสาหกรรม: ความเป็นส่วนตัวของข้อมูล K12 — การแจ้งเตือนการละเมิดที่สอดคล้องกับ FERPA ซึ่งทับซ้อนกับการสื่อสาร CVE
• การประยุกต์ใช้: การติดตั้งใช้งานในเขตโรงเรียนรัฐบาล — ความเป็นจริงเชิงปฏิบัติการของกองทัพอุปกรณ์ 50,000 เครื่อง

คำถามที่พบบ่อยเกี่ยวกับแพตช์ CVE ของปากกาอ่านหนังสือ

{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "SmartReadingPen แพตช์ CVE ระดับวิกฤตบนปากกาอ่านหนังสือ K7 ได้เร็วเพียงใด?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "CVE ระดับวิกฤตที่มีการใช้ประโยชน์จริง (อยู่ในรายการ CISA KEV) มีเป้าหมาย SLA การปล่อยแพตช์ภายใน 72 ชั่วโมง ค่ามัธยฐานเวลาจนถึงแพตช์ของเราในปี 2025 สำหรับ CVE ระดับวิกฤตคือ 9 วัน แบบครบวงจร รวมการเปิดใช้ OTA ทั้งหมด แต่ตัวแพตช์เองมักจะถูกเซ็นภายใน 72 ชั่วโมงและจัดเตรียมสำหรับการเปิดใช้แบบ Canary"
      }
    },
    {
      "@type": "Question",
      "name": "แพตช์ CVE จะขัดจังหวะการอ่านหรือทำให้อุปกรณ์ในภาคสนามเสียหายหรือไม่?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "ไม่ การออกแบบเฟิร์มแวร์แบบ A/B แบงก์คู่ของเราทำให้เราสามารถจัดเตรียมอัปเดตได้โดยไม่ขัดจังหวะการใช้งานที่กำลังทำงานอยู่ อิมเมจใหม่จะถูกเขียนไปยังแบงก์ที่ไม่ได้ใช้งาน ตรวจสอบลายเซ็น และจะสลับไปยังแบงก์ใหม่ในการรีบูตที่สะอาดครั้งถัดไปเท่านั้น หากอิมเมจใหม่บูตไม่สำเร็จ 3 ครั้ง bootloader จะย้อนกลับไปยังอิมเมจที่ดีที่รู้จักก่อนหน้าโดยอัตโนมัติ"
      }
    },
    {
      "@type": "Question",
      "name": "SmartReadingPen เปิดเผย CVE ต่อสาธารณะหรือไม่?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "ใช่ นโยบายการเปิดเผยของเรามุ่งมั่นที่จะเผยแพร่รายการ CVE บน /security/cve/{year}/{id}.html ภายใน 25 วัน นับจากการเปิดใช้ OTA ในวงกว้าง นักวิจัยที่รายงานปัญหาที่ถูกต้องจะได้รับการระบุชื่อในรายงานความโปร่งใสประจำปี เว้นแต่พวกเขาจะขอไม่เปิดเผยตัวตน"
      }
    },
    {
      "@type": "Question",
      "name": "ฟีด SBOM โต้ตอบกับการแจ้งเตือน CVE อย่างไร?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "SKU ทุกตัวที่จัดส่งจะเผยแพร่ฟีด SBOM ที่ /sbom/{sku}/feed.json. ผู้ซื้อสามารถนำฟีดนี้เข้าสู่ dependency-track, GUAC หรือเครื่องมือจัดการ SBOM ที่คล้ายกัน เมื่อมี CVE ใหม่ที่ตรงกับคอมโพเนนต์ใน SKU ที่ติดตั้งใช้งาน ระบบจะแจ้งเตือนทีมรักษาความปลอดภัยของผู้ซื้อโดยอัตโนมัติพร้อมเวอร์ชันเฟิร์มแวร์ที่ได้รับผลกระทบและสถานะแพตช์"
      }
    },
    {
      "@type": "Question",
      "name": "จะเกิดอะไรขึ้นกับอุปกรณ์ที่หมดประกันหรือสิ้นสุดอายุการใช้งาน?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "เรามุ่งมั่นที่จะสนับสนุนแพตช์ความปลอดภัยเป็นเวลา 5 ปี นับจากวันที่ SKU พร้อมจำหน่ายทั่วไป สำหรับ SKU ที่สิ้นสุดอายุการใช้งาน เราจะเผยแพร่การปล่อยเฟิร์มแวร์ขั้นสุดท้ายพร้อมแพตช์ CVE ที่รู้จักทั้งหมด และแนะนำให้ปลดออกจากกองทัพอุปกรณ์ คำมั่นสัญญา 5 ปีถูกกำหนดไว้ในข้อตกลงการให้บริการหลักของเราและสอดคล้องกับข้อกำหนด EU Cyber Resilience Act"
      }
    },
    {
      "@type": "Question",
      "name": "เขตโรงเรียนสามารถสมัครรับการแจ้งเตือน CVE ก่อนการเปิดเผยต่อสาธารณะได้หรือไม่?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "ได้ ลูกค้าที่มีสัญญาบำรุงรักษาจะได้รับการแจ้งเตือน CVE ล่วงหน้า 7 วันก่อนการเปิดใช้ OTA ต่อสาธารณะ และได้รับแพตช์ที่เซ็นแล้วภายใต้ MNDA สำหรับการจัดเตรียมภายใน ส่งอีเมลถึง [email protected] เพื่อลงทะเบียนเขตของคุณในโปรแกรมสัญญาบำรุงรักษา"
      }
    }
  ]
}

บทความที่เกี่ยวข้อง

• TC-148: การโจมตีซัพพลายเชนและ SBOM ของปากกาอ่านหนังสือ
• TC-146: การเสริมความแข็งแกร่งต่อ Fault Injection และ Glitch Attack ของปากกาอ่านหนังสือ
• TC-147: การปิด JTAG และการล็อกอินเทอร์เฟซดีบักของปากกาอ่านหนังสือ
• ปากกาอ่านหนังสือ AI Tutor Y6 พร้อม 4G
• ความเป็นส่วนตัวของข้อมูลปากกาอ่านหนังสือสำหรับ K12: FERPA, COPPA, GDPR-K
• การติดตั้งใช้งานปากกาอ่านหนังสือในเขตโรงเรียนรัฐบาล

คำกระตุ้นการจัดซื้อ

หากคุณเป็นเขตโรงเรียน กระทรวงศึกษาธิการ หรือผู้ซื้อ B2B ขนาดใหญ่ที่ต้องการเห็นภาพกระบวนการจัดการช่องโหว่ที่อยู่เบื้องหลังกองทัพปากกาอ่านหนังสือของคุณ เราสามารถแบ่งปันนโยบายการเปิดเผยช่องโหว่ฉบับเต็มและตาราง SLA ภายใต้ MNDA ภายใน 24 ชั่วโมง ส่งอีเมลถึง [email protected] หรือเยี่ยมชม หน้าติดต่อ เพื่อรับชุดเอกสาร ซึ่งประกอบด้วยไฟล์ PDF นโยบาย สรุปรายการ CVE ค้าง จำนวน ณ ปัจจุบัน เทมเพลตแจ้งเตือนลูกค้า และคู่มือการเชื่อมต่อกับ dependency-track และ GUAC

ต้องการตรวจสอบเชิงลึกเพิ่มเติมหรือไม่? เราจัดเซสชันตรวจสอบสถาปัตยกรรมความปลอดภัยทุกไตรมาส ณ ศูนย์วิศวกรรมเซินเจิ้นของเรา — เป็นเซสชัน 2 วัน ครอบคลุมกระบวนการ build เฟิร์มแวร์ ระบบ OTA backend ห่วงโซ่การดูแล HSM และประวัติการปล่อยแพตช์ย้อนหลัง 12 เดือน นัดหมายตรวจสอบความปลอดภัย กับประธานเจ้าหน้าที่ฝ่ายความปลอดภัยและวิศวกรเฟิร์มแวร์อาวุโส 4 ท่านของเรา จำกัดเพียง 6 ตัวแทนผู้ซื้อต่อเซสชัน

ความครอบคลุมของรหัสสินค้าและเงื่อนไขการค้า

วงจรการปล่อยแพตช์ CVE ของเราครอบคลุม SKU ทั้ง 11 รุ่น ได้แก่ B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6 รุ่นพรีเมียม Q8 (เฟิร์มแวร์ 3.3.1) T2 (เฟิร์มแวร์ 2.6.4, เซลล์ Li-ion 18650 2,500 mAh ใช้งาน 14 ชั่วโมง) และ Y6 (เฟิร์มแวร์ 2.6.4, สำรอง 4G) ได้รับการสนับสนุนแพตช์ 7 ปี นับจากวันวางจำหน่ายทั่วไป รุ่นระดับกลาง F8, K7, Q6, L5 ได้รับ 5 ปี รุ่นเริ่มต้น B1, B2, KF1, P2 ได้รับ 3 ปี อัตราความสำเร็จของการอัปเดต OTA ทั่วทั้งฐานติดตั้งอยู่ที่ 99.4% จากเครื่องที่จัดส่งกว่า 47,000 เครื่องไปยัง 47 ประเทศ และมีอัตราการรับแพตช์ 91.4% ภายใน 60 วัน ปากกาอ่านหนังสือจัดอยู่ในพิกัด HS 8543.70 เมื่อจำหน่ายแบบเดี่ยว หรือ 9503.00 เมื่อบรรจุรวมกับของเล่น ครอบคลุม 18 ใบรับรองที่ยังมีผลบังคับใช้สำหรับทุกปลายทาง ได้แก่ CE ภายใต้ RED/EMC/LVD, FCC, UKCA, EN 71-1/2/3, ASTM F963, CPSIA, RoHS, REACH, PSE, KC, GCC/SFDA, SNI, NOM, INMETRO, RCM, ISED, UN38.3, IEC 62133 ช่วงราคา EXW เซินเจิ้น Q8 ราคา 14.20 ดอลลาร์ MOQ 1,000; T2 ราคา 14.50 ดอลลาร์ MOQ 500; Y6 ราคา 13.80 ดอลลาร์ MOQ 500; K7 ราคา 9.40 ดอลลาร์; F8 ราคา 8.90 ดอลลาร์; L5 ราคา 10.50 ดอลลาร์; KF1 ราคา 7.20 ดอลลาร์; Q6 ราคา 7.80 ดอลลาร์; B1 ราคา 4.20 ดอลลาร์; B2 ราคา 4.80 ดอลลาร์; P2 ราคา 3.80 ดอลลาร์ เงื่อนไขการค้า ได้แก่ EXW, FOB, CIF, DDP, DAP การชำระเงินเป็น T/T 30/70 พร้อมส่วนลดชำระค่าสินค้าเร็ว 2.4% เมื่อโอนส่วนที่เหลือภายใน 14 วัน L/C ที่เห็นสำหรับผู้ซื้อใหม่ที่มียอดเกิน 50,000 ดอลลาร์ OA สำหรับบัญชีที่มีประวัติความร่วมมือ และ PayPal สำหรับการสั่งตัวอย่าง MOQ สำหรับแม่พิมพ์และฉลากส่วนตัวอยู่ที่ 3,000 ถึง 5,000 เครื่อง โดยค่าเครื่องมืออยู่ที่ 4,000 ถึง 28,000 ดอลลาร์ต่อชุดแม่พิมพ์

คำถามที่พบบ่อยเกี่ยวกับการปล่อยแพตช์ CVE