ETSI 303-645

ETSI EN 303 645，也称为“消费物联网网络安全：基线要求”，是由欧洲电信标准化协会（ETSI）制定的标准。

该标准包含安全软件更新、数据保护、安全通信以及尽量缩小暴露的攻击面等条款。它是应对物联网设备相关挑战与风险的广泛努力的一部分。

标准的完整版本可在 此处 找到。

术语

ETSI 303645 术语

管理员

设备的用户中拥有最高权限的用户，这意味着该用户可以更改与预期功能相关的任何配置。

关联服务

与该设备共同构成完整消费类物联网产品，并且通常是提供产品预期功能所必需的数字服务。

身份验证机制

用于证明实体真实性的方法。

身份验证值

身份验证机制所使用的某个属性的具体值。

符合最佳实践的密码学

适合相应用例，并且没有迹象表明使用当前易于获得的技术可以实施可行攻击的密码学。

受约束设备

由于预期用途带来的限制，在处理数据、通信数据、存储数据或与用户交互的能力方面存在物理局限的设备。

消费者

为其贸易、商业、手工业或职业之外的目的行事的自然人。

消费类物联网设备

与关联服务存在关系，并且通常由消费者在家中使用或作为电子可穿戴设备使用的网络连接（及可连接网络）设备。

关键安全参数

泄露或修改后可能危及安全模块安全的、与安全相关的机密信息。

调试接口

制造商在开发期间用于与设备通信，或用于对设备问题进行初步诊断的物理接口，不属于面向消费者的功能的一部分。

定义的支持期

制造商将提供安全更新的最短时间长度，可以用时间段或结束日期表示。

设备制造商

创建组装后的最终消费类物联网产品的实体，该产品可能包含许多其他供应商的产品和组件。

出厂默认

设备在恢复出厂设置后或最终生产/组装后的状态。

初始化

使设备的网络连接进入可操作状态，并可选地为用户或网络访问设置身份验证功能的进程。

已初始化状态

设备在初始化后的状态。

物联网产品

消费类物联网设备及其关联服务。

可隔离

能够从其所连接的网络中移除，且由此造成的任何功能损失仅与该连接有关，而不影响其主要功能；或者，当且仅当能够确保环境中设备的完整性时，能够与其他设备一起置于自包含环境中。

逻辑接口

利用网络接口通过信道或端口在网络上进行通信的软件实现。

制造商

供应链中的相关经济运营者（包括设备制造商）。

网络接口

可用于通过网络访问消费类物联网功能的物理接口。

所有者

拥有或购买了该设备的用户。

个人数据

与已识别或可识别的自然人有关的任何信息。

物理接口

用于在物理层与设备通信的物理端口或空中接口（例如无线电、音频或光学接口）。

公开安全参数

修改后可能危及安全模块安全的、与安全相关的公开信息。

可远程访问

预期可从本地网络外部访问。

安全模块

实现安全功能的硬件、软件和/或固件集合。

安全更新

用于解决制造商发现或收到报告的漏洞的软件更新。

敏感安全参数

关键安全参数和公开安全参数。

软件服务

设备中用于支持功能的软件组件。

遥测

来自设备的数据，可提供信息以帮助制造商识别问题或获取与设备使用情况相关的信息。

每台设备唯一

对于给定产品类别或类型的每台单独设备都是唯一的。

用户

自然人或者组织。

条款评估

下表使用 ETSI EN 303 645 的表 B.1 进行自我评估，特别关注作为物联网产品中组件的 Zephyr RTOS。

根据 ETSI 303 645，表 B.1 提供了一种机制，用于提供有关标准中各项条款实施情况的信息。Zephyr 采用了标准中使用的以下标记：

ETSI 303645 表 B.1 标记

M

该条款为强制要求

R

该条款为建议

M C

该条款为强制要求且有条件

R C

该条款为建议且有条件

Y

该条款由 Zephyr 支持

N

该条款不受 Zephyr 支持

不适用

该条款不适用于 Zephyr，或属于产品制造商的责任
使用表 B.1 的 ETSI 303645 条款评估

条款

描述

状态

支持

详情

条款 5.1-1

在除出厂默认状态以外的任何状态下使用密码时，所有消费类物联网设备的密码应每台设备唯一或由用户定义。

M C

不适用

条款 5.1-2

使用预装的、每台设备唯一的密码时，应通过一种降低针对某类或某种设备自动化攻击风险的机制来生成这些密码。

M C

不适用

条款 5.1-3

用于对设备验证用户身份的身份验证机制，应使用适合技术特性、风险和使用场景的最佳实践密码学。

M

不适用

条款 5.1-4

在用户可以向设备进行身份验证的情况下，设备应向用户或管理员提供一种简单机制来更改所使用的身份验证值。

M C

不适用

条款 5.1-5

当设备不是受约束设备时，其应具备一种机制，使通过网络接口对身份验证机制进行的暴力破解攻击不可行。

M C

N

TODO

条款 5.2-1

制造商应公开提供漏洞披露政策。

M

Y

漏洞管理

条款 5.2-2

应及时对已披露的漏洞采取行动。

R

Y

漏洞时间线

条款 5.2-3

制造商应在定义的支持期内持续监控、识别并修复其销售、生产、委托生产的产品以及其运营的服务中的安全漏洞。

R

Y

模块 已覆盖

条款 5.3-1

消费类物联网设备中的所有软件组件应能够安全更新。

R

Y

设备固件升级

条款 5.3-2

当设备不是受约束设备时，其应具备用于安全安装更新的更新机制。

M C

Y

设备固件升级

条款 5.3-3

更新应便于用户应用。

M C

不适用

条款 5.3-4

软件更新应使用自动机制。

R C

不适用

条款 5.3-5

设备应在初始化后以及之后定期检查是否有可用的安全更新。

R C

不适用

条款 5.3-6

如果设备支持自动更新和/或更新通知，则这些功能应在已初始化状态下启用并可配置，以便用户能够启用、禁用或推迟安装安全更新和/或更新通知。

R C

不适用

条款 5.3-7

设备应使用最佳实践密码学来实现安全更新机制。

M C

Y

West Sign

条款 5.3-8

安全更新应及时。

M C

不适用

条款 5.3-9

设备应验证软件更新的真实性和完整性。

R C

Y

该功能由 MCUboot 提供。另请参见 设备固件升级。

条款 5.3-10

当更新通过网络接口交付时，设备应通过信任关系验证每个更新的真实性和完整性。

M

不适用

条款 5.3-11

制造商应以用户可识别且明显的方式告知用户需要安全更新，同时提供该更新所缓解风险的信息。

R C

不适用

条款 5.3-12

当应用软件更新会中断设备的基本功能时，设备应通知用户。

R C

不适用

Zephyr 为其更新提供此信息。任何在产品中使用 Zephyr 的人都必须检查自己是否受到影响。

条款 5.3-13

制造商应以清晰透明、便于用户获取的方式公布定义的支持期。

M

Y

发布生命周期与维护

条款 5.3-14

对于无法更新软件的受约束设备，制造商应以清晰透明、便于用户获取的方式公布不提供软件更新的理由、硬件更换支持的期限和方式以及定义的支持期。

R C

不适用

条款 5.3-15

对于无法更新软件的受约束设备，产品应可隔离，且硬件应可更换。

R C

不适用

条款 5.3-16

消费类物联网设备的型号标识应清晰可辨，可以通过设备上的标签或物理接口实现。

M

不适用

条款 5.4-1

设备应安全地存储持久性存储中的敏感安全参数。

M

N

Zephyr 中没有安全存储

条款 5.4-2

当设备出于安全目的使用硬编码的每台设备唯一身份标识时，其实现方式应能抵御物理、电气或软件等方式的篡改。

M C

不适用

条款 5.4-3

不得在设备软件源代码中使用硬编码的关键安全参数。

M

Y

安全加固工具

条款 5.4-4

设备软件中用于软件更新完整性和真实性检查，以及用于保护与关联服务通信的任何关键安全参数，应每台设备唯一，并应通过一种降低针对某类设备自动化攻击风险的机制生成。

M

不适用

条款 5.5-1

消费类物联网设备应使用最佳实践密码学进行安全通信。

M

Y

条款 5.5-2

消费类物联网设备应使用经过审查或评估的实现来提供网络和安全功能，尤其是在密码学领域。

R

Y

条款 5.5-3

密码算法和原语应可更新。

R

N

必须更新整个镜像

条款 5.5-4

在已初始化状态下，通过网络接口访问设备功能应仅在该接口上完成身份验证后才可行。

R

不适用

条款 5.5-5

允许通过网络接口对配置进行安全相关更改的设备功能，应仅在身份验证后可访问。例外情况是设备所依赖的网络服务协议，以及制造商无法保证设备运行所需配置的情况。

M

不适用

条款 5.5-6

关键安全参数在传输过程中应加密，且加密方式应适合技术特性、风险和使用场景。

R

Y

条款 5.5-7

消费类物联网设备应保护通过可远程访问的网络接口传输的关键安全参数的机密性。

M

Y

条款 5.5-8

制造商应遵循针对设备相关关键安全参数的安全管理流程。

M

不适用

条款 5.6-1

所有未使用的网络接口和逻辑接口应被禁用。

M

Y

Kconfig

条款 5.6-2

在已初始化状态下，设备的网络接口应尽量减少未经身份验证的安全相关信息泄露。

M

Y

条款 5.6-3

设备硬件不必要地将物理接口暴露于攻击。

R

Y

Kconfig 和 安全加固工具

条款 5.6-4

在调试接口可物理访问的情况下，应在软件中禁用该接口。

M C

Y

安全加固工具

条款 5.6-5

制造商只应启用设备预期用途或运行所使用或所需的软件服务。

R

Y

Kconfig 和 安全加固工具

条款 5.6-6

代码应精简到服务/设备运行所需的功能。

R

Y

Kconfig

条款 5.6-7

软件应以最小必要权限运行，同时兼顾安全性和功能。

R

Y

安全概述

条款 5.6-8

设备应包含硬件级内存访问控制机制。

R

Y

内存保护

条款 5.6-9

制造商应针对设备上部署的软件遵循安全开发流程。

R

Y

安全概述 和 编码指南

条款 5.7-1

消费类物联网设备应使用安全启动机制验证其软件。

R

Y

该功能由 MCUboot 提供。另请参见 安全概述。

条款 5.7-2

如果检测到软件发生未经授权的更改，设备应就此问题向用户和/或管理员发出警报，并且不应连接到执行警报功能所必需的网络之外的更广泛网络。

R

N

Zephyr 不提供运行时检测/通知。

条款 5.8-1

设备与服务（尤其是关联服务）之间传输的个人数据的机密性应使用最佳实践密码学加以保护。

R

Y

条款 5.8-2

设备与关联服务之间传输的敏感个人数据的机密性应使用适合技术特性和使用场景的密码学加以保护。

M

Y

条款 5.8-3

设备的所有外部感测能力应以清晰透明、便于用户获取的方式记录文档。

M

Y

感测

条款 5.9-1

消费类物联网设备和服务应内置韧性，并考虑数据网络和电力中断的可能性。

R

Y

条款 5.9-2

消费类物联网设备在网络接入中断时应保持运行和本地功能，并在电力恢复后干净地恢复。

R

Y

条款 5.9-3

消费类物联网设备应以预期、可运行且稳定的状态有序连接到网络，并考虑基础设施的能力。

R

Y

条款 5.10-1

如果从消费类物联网设备和服务收集遥测数据（例如使用情况和测量数据），则应检查其中是否存在安全异常。

R C

不适用

条款 5.11-1

应向用户提供相应功能，以便能够以简单的方式从设备中擦除用户数据。

M

不适用

条款 5.11-2

应在设备上向消费者提供相应功能，以便能够以简单的方式从关联服务中移除个人数据。

R

不适用

条款 5.11-3

应向用户提供关于如何删除其个人数据的明确说明。

R

不适用

条款 5.11-4

应向用户提供明确确认，说明个人数据已从服务、设备和应用程序中删除。

R

不适用

条款 5.12-1

消费类物联网的安装和维护应尽量减少用户所需做出的决定，并应遵循有关可用性的安全最佳实践。

R

不适用

条款 5.12-2

制造商应向用户提供如何安全设置其设备的指导。

R

不适用

条款 5.12-3

制造商应向用户提供如何检查其设备是否已安全设置的指导。

R

不适用

条款 5.13-1

消费类物联网设备软件应验证通过用户界面输入的数据，或者通过应用程序编程接口（API）或在服务与设备之间的网络传输的数据。

M

Y

系统调用验证 和 编码指南

条款 6.1-1

制造商应就每台设备和服务向消费者提供清晰透明的信息，说明处理了哪些个人数据、如何使用、由谁使用以及用于何种目的。这也适用于可能涉及的第三方，包括广告商。

M

不适用

条款 6.1-2

在基于消费者同意处理个人数据的情况下，应以有效方式获得该同意。

M C

不适用

条款 6.1-3

同意处理其个人数据的消费者应能够随时撤回同意。

M

不适用

条款 6.1-4

如果从消费类物联网设备和服务收集遥测数据，个人数据的处理应保持在预期功能所需的最低限度。

R C

不适用

条款 6.1-5

如果从消费类物联网设备和服务收集遥测数据，应向消费者提供信息，说明收集了哪些遥测数据、如何使用、由谁使用以及用于何种目的。

M C

不适用