Đối tượng: Bài viết này được viết cho các kiến trúc sư bảo mật, giám đốc CNTT, bộ phận mua sắm trường học và cán bộ tuân thủ, những người cần một bức tranh kỹ thuật có thể bảo vệ được về mã hóa, quản lý khóa và tư thế khởi động an toàn của dòng bút đọc kết nối. Tài liệu này mô tả mã hóa AES-256 at-rest, mã hóa TLS 1.3 in-transit, khởi động an toàn phần cứng và mô hình lưu ký khóa B2B.
Bút đọc kết nối là một máy tính nhỏ có micro, radio Wi-Fi và thời lượng pin dài. Cùng một kiến trúc bảo mật bảo vệ laptop doanh nghiệp cũng được áp dụng, thu nhỏ cho một thiết bị có giá 11,40 USD EXW và vận chuyển trong thùng carton 158 g. Trên mười một mẫu sản xuất trong danh mục của chúng tôi, tư thế bảo mật thay đổi theo khả năng radio, thế hệ firmware và quần thể thiết bị. Bài viết này tài liệu hóa kiến trúc mã hóa, chuỗi khởi động an toàn, vòng đời quản lý khóa và gói kiểm toán B2B mà nhà máy cung cấp cho các nhà phân phối cần chứng minh tư thế bảo mật có thể bảo vệ được cho khách hàng của họ.
1. Ba lớp bảo mật của bút đọc
Bảo mật bút đọc được xây dựng trên ba lớp. Lớp 1 là thiết bị, bao gồm khởi động an toàn, lưu trữ được mã hóa và phát hiện giả mạo. Lớp 2 là kênh truyền, bao gồm TLS 1.3 in-transit và ghim chứng chỉ. Lớp 3 là đám mây, bao gồm AES-256 at-rest, xoay vòng khóa và ghi nhật ký kiểm toán.
| Lớp | Thành phần | Tiêu chuẩn | Vòng đời |
|---|---|---|---|
| Thiết bị | Khởi động an toàn | RSA-2048 + SHA-256 | Theo mỗi firmware |
| Thiết bị | Lưu trữ được mã hóa | AES-256-XTS | Theo quần thể |
| Thiết bị | Phát hiện giả mạo | Glitch điện áp + xung nhịp | Liên tục |
| Kênh truyền | Mã hóa in-transit | TLS 1.3 | Theo mỗi phiên |
| Kênh truyền | Ghim chứng chỉ | Ghim SHA-256 | Theo mỗi firmware |
| Đám mây | Mã hóa khi lưu trữ | AES-256-GCM | Theo từng đối tượng |
| Đám mây | Xoay vòng khóa | Hàng quý | 90 ngày |
| Đám mây | Ghi nhật ký kiểm tra | Bất biến, 7 năm | Liên tục |
Mọi bút đọc trong dòng sản phẩm kết nối đều triển khai đầy đủ cả ba lớp. Dòng chỉ ngoại tuyến B1, B2, K7, và KF1 chỉ triển khai Layer 1, với secure boot và lưu trữ mã hóa trên thẻ SD cục bộ nếu có.
Mẹo cho người mua: Luôn yêu cầu báo cáo kiểm thử xâm nhập trước khi ký hợp đồng với một nhóm thiết bị kết nối. Một nhà máy chưa đầu tư kiểm thử xâm nhập từ bên thứ ba sẽ không thể trả lời các câu hỏi về kiến trúc mã hóa trước đội ngũ bảo mật của bạn.
2. Ma trận tư thế bảo mật của mười một mẫu
Tư thế bảo mật khác nhau giữa mười một mẫu sản xuất, trong đó các mẫu cũ phân khúc phổ thông dựa trên chuỗi tin cậy chỉ bằng phần mềm, còn các sản phẩm flagship mới hơn bổ sung phần tử bảo mật phần cứng. Ma trận dưới đây tóm tắt tư thế của từng mẫu.
| Mẫu | Secure Boot | Phần tử bảo mật phần cứng | Lưu trữ mã hóa | Phát hiện can thiệp |
|---|---|---|---|---|
| B1 | Phần mềm | Không | Tùy chọn (SD) | Không |
| B2 | Phần mềm | Không | Tùy chọn (SD) | Không |
| F8 | Phần mềm | Không | Có (bộ nhớ đệm BT) | Không |
| K7 | Phần mềm | Không | Tùy chọn (SD) | Không |
| KF1 | Phần mềm | Không | Tùy chọn (SD) | Không |
| L5 | Hỗ trợ phần cứng | Có (dạng TPM) | Có | Giám sát điện áp |
| P2 | Hỗ trợ phần cứng | Có (dạng TPM) | Có | Điện áp + xung nhịp |
| Q6 | Hỗ trợ phần cứng | Có (dạng TPM) | Có | Giám sát điện áp |
| Q8 | Phần cứng | Có (TPM 2.0) | Có | Điện áp + xung nhịp + mạng lưới |
| T2 | Phần cứng | Có (TPM 2.0) | Có | Điện áp + xung nhịp + mạng lưới |
| Y6 | Phần cứng | Có (TPM 2.0) | Có | Điện áp + xung nhịp + mạng lưới |
Các mẫu Q8, T2, và Y6 là những mẫu duy nhất có phần tử bảo mật phần cứng TPM 2.0 đầy đủ và mạng lưới phát hiện can thiệp dạng mesh. Đây là các mẫu được khuyến nghị cho các triển khai tại trường học yêu cầu mức độ bảo mật cao, và chúng cũng là những mẫu duy nhất đáp ứng tiêu chuẩn an ninh mạng EN 18031 của EU cho các thiết bị kết nối.
3. Mã hóa AES-256 khi lưu trữ
Mọi bút đọc kết nối đều lưu trữ bộ nhớ đệm dữ liệu telemetry, tệp giấy phép và nội dung đã tải xuống trong một phân vùng được mã hóa AES-256-XTS trên bộ nhớ flash bên trong. Khóa mã hóa được dẫn xuất từ khóa duy nhất phần cứng (HUK) và một giá trị đa dạng hóa theo nhóm, nghĩa là cùng một khóa không bao giờ xuất hiện trên hai thiết bị. Thuộc tính này được gọi là tính duy nhất của khóa theo từng thiết bị, và nó giới hạn phạm vi ảnh hưởng của bất kỳ sự xâm phạm khóa nào chỉ trên một thiết bị.
| Hạng mục lưu trữ | Mã hóa | Nguồn khóa | Vòng xoay |
|---|---|---|---|
| Bộ nhớ tạm viễn thông | AES-256-XTS | HUK + muối theo nhóm | Theo mỗi lần khôi phục cài đặt gốc |
| Tệp giấy phép | AES-256-GCM | HUK + muối theo nhóm | Theo mỗi lần kích hoạt nhóm |
| Nội dung đã tải xuống | AES-256-XTS | HUK + muối theo nhóm | Theo mỗi lần khôi phục cài đặt gốc |
| Biên nhận đồng ý của phụ huynh | AES-256-GCM | HUK + muối theo nhóm | Theo mỗi lần cập nhật sự đồng ý |
| Ảnh firmware | Ký bằng RSA-2048 | Khóa gốc của nhà máy | Theo mỗi bản phát hành |
Nhà máy sử dụng chế độ AES-256-XTS cho lưu trữ dung lượng lớn vì đây là tiêu chuẩn cho mã hóa toàn bộ đĩa, và chế độ AES-256-GCM cho dữ liệu có cấu trúc vì nó cung cấp mã hóa có xác thực. HUK được tạo tại bước kiểm tra wafer và được hợp nhất vào phần tử bảo mật trong quá trình SMT, nghĩa là khóa không bao giờ rời khỏi chip ở dạng rõ.
4. TLS 1.3 khi truyền dữ liệu
Mọi bút đọc kết nối với đám mây đều sử dụng TLS 1.3 với ghim chứng chỉ X.509. Việc ghim được thực thi đối với chứng chỉ gốc của nhà máy và một chứng chỉ gốc dự phòng, cả hai đều được ký bằng RSA-2048. Bộ mật mã TLS 1.3 là TLS_AES_256_GCM_SHA384, cung cấp tính bảo mật chuyển tiếp và mã hóa có xác thực.
| Tham số TLS | Giá trị | Ghi chú |
|---|---|---|
| Phiên bản giao thức | TLS 1.3 | RFC 8446 |
| Bộ mã hóa | TLS_AES_256_GCM_SHA384 | AEAD |
| Trao đổi khóa | X25519 | ECDHE |
| Xác thực | RSA-2048 | Đã ghim |
| Thời hạn chứng chỉ | 90 ngày | Tự động xoay vòng |
| OCSP stapling | Có | Kiểm tra thu hồi |
| Thương lượng lại | Đã tắt | Mặc định TLS 1.3 |
Một quá trình bắt tay TLS với POP khu vực mất từ 240 ms đến 480 ms, tùy thuộc vào độ trễ khứ hồi. Khi quá trình bắt tay hoàn tất, thiết bị mở một kết nối HTTP/2 streaming với 16 luồng ghép kênh, cho phép cập nhật delta, tải lên dữ liệu đo từ xa và kiểm tra giấy phép diễn ra song song.
5. Chuỗi khởi động an toàn
Mỗi bút đọc kết nối đều triển khai một chuỗi khởi động an toàn bắt đầu từ bootloader bất biến trong phần tử bảo mật và kết thúc ở firmware ứng dụng. Mỗi giai đoạn xác minh chữ ký của giai đoạn tiếp theo dựa trên khóa gốc được lưu trữ trong phần tử bảo mật. Nếu bất kỳ chữ ký nào thất bại, thiết bị sẽ dừng và từ chối khởi động.
| Giai đoạn khởi động | Xác minh | Khóa gốc | Lưu trữ tại |
|---|---|---|---|
| ROM bootloader | Khởi động giai đoạn một | Factory root | ROM |
| First-stage boot | First-stage boot | Factory root | Secure element |
| Second-stage boot | Firmware image | Factory root | Secure element |
| Firmware image | Application | Factory root | Encrypted flash |
Ảnh firmware được ký bằng khóa factory root ngay tại thời điểm phát hành và chữ ký được xác minh trong mỗi lần khởi động. Khôi phục cài đặt gốc sẽ nạp lại firmware từ ảnh đã ký, nghĩa là một thiết bị bị xâm hại luôn có thể được kỹ thuật viên hiện trường khôi phục về trạng thái tốt đã biết bằng cáp gỡ lỗi USB-C và khóa factory được ủy thác.
6. Vòng đời quản lý khóa
Nhà máy vận hành một dịch vụ quản lý khóa để phát hành, xoay vòng và thu hồi các khóa bản quyền theo nhóm, chứng chỉ theo thiết bị và chứng chỉ máy chủ TLS. Dịch vụ tuân thủ FIPS 140-2 và được kiểm toán hằng năm bởi một đơn vị thẩm định độc lập.
| Loại khóa | Phát hành | Xoay vòng | Thu hồi |
|---|---|---|---|
| Khóa bản quyền nhóm | Theo nhóm | 24 tháng | Khi nhóm kết thúc |
| Chứng chỉ thiết bị | Theo thiết bị | 90 ngày | Khi khôi phục cài đặt gốc |
| Chứng chỉ máy chủ TLS | Theo POP | 90 ngày | Khi bị xâm hại |
| Khóa factory root | Theo nhà máy | Hằng năm | Khi bị xâm hại |
| Khóa root dự phòng | Theo nhà máy | Hằng năm | Khi bị xâm hại |
Sự cố lộ khóa sẽ kích hoạt thu hồi ngay lập tức trên tất cả POP và gửi thông báo đẩy đến mọi thiết bị rằng chứng chỉ đã bị thu hồi. Thiết bị sau đó sẽ yêu cầu chứng chỉ mới trong cửa sổ đồng bộ kế tiếp, qua đó đóng cửa sổ lộ khóa trong vòng chưa đầy 24 giờ.
7. Kết quả kiểm thử xâm nhập
Nhà máy ủy thác một cuộc kiểm thử xâm nhập hằng năm cho một đơn vị thẩm định độc lập chuyên về thiết bị điện tử tiêu dùng kết nối. Đợt kiểm thử năm 2025 kéo dài 6 tuần và bao gồm firmware, ngăn xếp sóng vô tuyến, API đám mây và hạ tầng POP. Cuộc kiểm thử phát hiện 14 phát hiện, trong đó 2 mức nghiêm trọng, 4 mức cao, 6 mức trung bình và 2 mức thấp. Tất cả phát hiện nghiêm trọng và cao đã được khắc phục trong vòng 90 ngày.
| Phát hiện | Mức độ | Trạng thái |
|---|---|---|
| Tràn bộ đệm trong trình điều khiển âm thanh | Nghiêm trọng | Đã khắc phục |
| Tấn công phát lại khi kích hoạt bản quyền | Nghiêm trọng | Đã khắc phục |
| Vượt qua cơ chế ghim chứng chỉ TLS | Cao | Đã khắc phục |
| Vượt qua giới hạn tần suất API | Cao | Đã khắc phục |
| Lộ khóa ủy thác bản quyền | Cao | Đã khắc phục |
| Giả mạo nhật ký kiểm tra | Cao | Đã khắc phục |
| XSS trong bảng điều khiển trường học | Trung bình | Đã khắc phục |
| Chuyển hướng mở trong ứng dụng phụ huynh | Trung bình | Đã khắc phục |
| Lộ thông tin trong thông báo lỗi | Trung bình | Đã khắc phục |
| Độ phức tạp mật khẩu chưa đủ | Trung bình | Đã khắc phục |
| Cố định phiên | Trung bình | Đã khắc phục |
| Thiếu tiêu đề bảo mật | Trung bình | Đã khắc phục |
| Thông báo lỗi quá chi tiết | Thấp | Đã khắc phục |
| Clickjacking trên trang đăng nhập | Thấp | Đã khắc phục |
Bài kiểm thử xâm nhập năm 2026 được lên lịch vào Q3 và sẽ bao trùm mạng phát hiện chống giả mạo dạng lưới Y6 mới cùng với POP sắp ra mắt tại Thành phố Mexico. Báo cáo kiểm thử xâm nhập được cung cấp theo thỏa thuận NDA cho bất kỳ nhà phân phối nào có nhóm thiết bị đang hoạt động từ 1.000 máy trở lên.
8. Gói Kiểm toán Bảo mật B2B
Nhà máy cung cấp gói kiểm toán bảo mật cho mọi nhà phân phối có nhóm thiết bị kết nối đang hoạt động. Gói này bao gồm báo cáo kiểm thử xâm nhập, sơ đồ kiến trúc, chính sách quản lý khóa, kế hoạch ứng phó sự cố và chứng thực khởi động an toàn. Gói này được rà soát hằng quý và cập nhật sau mỗi lần kiểm thử xâm nhập hoặc sự kiện bảo mật quan trọng.
| Tài liệu | Đơn vị chịu trách nhiệm | Tần suất cập nhật |
|---|---|---|
| Báo cáo kiểm thử xâm nhập | Đơn vị đánh giá bên thứ ba | Hằng năm |
| Sơ đồ kiến trúc | Nhà máy | Hằng quý |
| Chính sách quản lý khóa | Nhà máy | Hằng năm |
| Kế hoạch ứng phó sự cố | Nhà máy | Hằng năm |
| Chứng thực khởi động an toàn | Nhà máy | Theo mỗi phiên bản firmware |
| SBOM (bảng kê khai phần mềm) | Nhà máy | Theo mỗi phiên bản firmware |
| Chính sách tiết lộ lỗ hổng | Nhà máy | Hằng năm |
| Báo cáo SOC 2 Type II | Nhà cung cấp dịch vụ đám mây | Hằng năm |
Báo cáo SOC 2 Loại II được cung cấp bởi nhà cung cấp đám mây lưu trữ các POP khu vực. Báo cáo SOC 2 năm 2025 bao trùm 12 tháng vận hành tại các POP Frankfurt, Singapore, Dubai, São Paulo, Lagos và Tokyo, với 0 ngoại lệ được ghi nhận.
9. Lỗ hổng bảo mật phổ biến mà chúng tôi phát hiện trong chương trình nhà phân phối
Trên 230+ triển khai của nhà phân phối, đội ngũ bảo mật của nhà máy đã xác định sáu lỗ hổng phổ biến gây phơi nhiễm. Các lỗ hổng được liệt kê theo tần suất.
| Lỗ hổng | Tần suất | Rủi ro | Khắc phục |
|---|---|---|---|
| Bật dự phòng TLS 1.2 | 18% triển khai | Cao | Tắt TLS 1.2 |
| Đã bỏ qua ghim chứng chỉ | 12% | Cao | Bật lại ghim |
| Chưa bật nhật ký kiểm tra | 9% | Trung bình | Bật ghi log |
| Đã tắt xoay vòng khóa | 6% | Cao | Bật xoay vòng |
| Báo cáo kiểm thử xâm nhập đã cũ | 6% | Trung bình | Cập nhật báo cáo |
| Firmware đã cũ | 4% | Cao | Đẩy bản cập nhật firmware |
Lỗ hổng phổ biến nhất là dự phòng TLS 1.2, đôi khi được bật bởi các nhà phân phối muốn hỗ trợ các bộ định tuyến Wi-Fi cũ. Khuyến nghị của nhà máy là luôn yêu cầu TLS 1.3 và triển khai một luồng cổng thông tin riêng cho các bộ định tuyến cũ.
10. Danh sách kiểm tra quyết định trước khi kích hoạt một nhóm thiết bị kết nối
Trước khi một nhóm thiết bị kết nối được kích hoạt, đội ngũ bảo mật của nhà máy yêu cầu nhà phân phối xác nhận bảy mục. Một câu trả lời không cho bất kỳ mục nào phải được giải quyết trước khi nhóm đi vào vận hành.
- Đã áp dụng TLS 1.3: Dự phòng TLS 1.2 bị tắt tại cạnh POP.
- Đã bật ghim chứng chỉ: firmware thiết bị đã thực thi ghim chứng chỉ.
- Đã bật ghi nhật ký kiểm tra: tất cả sự kiện POP được ghi vào nhật ký kiểm tra bất biến.
- Đã bật xoay vòng khóa: xoay vòng khóa cấp phép theo nhóm được đặt ở mức 24 tháng.
- Báo cáo kiểm thử xâm nhập còn hiệu lực: báo cáo kiểm thử xâm nhập gần nhất dưới 12 tháng tuổi.
- Có SBOM: một bảng kê khai phần mềm (SBOM) được lưu cho bản firmware.
- Đã rà soát kế hoạch ứng phó sự cố: kế hoạch ứng phó sự cố chung đã được diễn tập trong 12 tháng qua.
Nếu bạn có thể trả lời có cho cả bảy mục, nhóm đã sẵn sàng để kích hoạt. Nếu bạn trả lời có từ năm đến sáu mục, hãy xử lý các lỗ hổng với đội ngũ bảo mật của nhà máy trước khi nhóm đi vào vận hành.
11. Mẫu chi phí overhead bảo mật
Overhead bảo mật được bao gồm trong giá thuê bao cho các nhóm trên 1.000 thiết bị. Đối với các nhóm nhỏ hơn, overhead được cung cấp theo chi phí. Cấu trúc giá được thiết kế để một nhà phân phối nhỏ trả 0,24 USD mỗi thiết bị mỗi năm cho overhead bảo mật, bao gồm phân bổ kiểm thử xâm nhập, dịch vụ quản lý khóa và phần chi trả cho kiểm toán SOC 2.
| Quy mô nhóm | Gói bảo mật bao gồm | Overhead / Thiết bị / Năm |
|---|---|---|
| Dưới 1.000 | Theo chi phí | 0,24 USD |
| 1.000 đến 5.000 | Bao gồm | 0,00 $ |
| 5.000 đến 20.000 | Bao gồm + CISO chuyên trách | 0,00 $ + 4.800 $/ tháng |
| 20.000 đến 50.000 | Bao gồm + POP chuyên trách | 0,00 $ + POP + 4.800 $/ tháng |
| Trên 50.000 | Bao gồm + cloud chuyên trách | 0,00 $ + 24.000 $/ tháng |
Một CISO chuyên trách có sẵn với giá 4.800 $ mỗi tháng cho các nhà phân phối có từ 5.000 thiết bị trở lên. CISO đóng vai trò là đầu mối liên hệ được chỉ định cho đội ngũ bảo mật của nhà phân phối và điều hành buổi đánh giá bảo mật hàng quý. POP chuyên trách được dành riêng cho các nhà phân phối có từ 20.000 thiết bị trở lên và bổ sung thêm một lớp cách ly mạng.
Bài đọc liên quan
- Tuân thủ GDPR cho ứng dụng và đám mây bút đọc
- Tuân thủ COPPA cho bút đọc kết nối
- Quyền riêng tư và tuân thủ COPPA của bút đọc
- Đồng bộ thư viện nội dung bút đọc với đám mây
- Bảng tiến độ dành cho phụ huynh của bút đọc
- Tuân thủ quyền riêng tư dữ liệu bút đọc
- Quản lý rủi ro nhà cung cấp
- Hướng dẫn thông số kỹ thuật bút đọc Y6