美国网络信任标志：恩智浦愿通过EdgeLock^® Assurance保障计划支持范式转变

美国正处于一场无声的网络战争中，面对着源源不断、狡猾多变的恶意网络攻击，这些攻击不仅针对公共部门和私营部门，更危及到每一个美国公民的安全和隐私。

这是拜登总统在2021年5月发布的第14028号行政命令（EO）中的第一句话。拜登总统还在《指令》中补充道：

“…网络不仅需要政府采取行动。要有效地保护我们的国家免受恶意网络行为者的攻击，联邦政府与私营部门需要携手合作。私营部门必须适应不断变化的威胁环境，确保其产品安全地生产和运行，并与联邦政府合作，打造更安全的网络空间。“

它不仅确定了基调，还树立了目标，并且制定了改善美国网络安全的详细计划。因此，白宫于2023年7月18日推出美国网络信任标志并不令人惊讶。该行政命令除了提出一系列措施，旨在改进美国机构的网络安全数据采集和管理、提升云服务的安全防护、加强软件供应链的安全保障以及优化安全事件的检测和应对外，还计划推出消费者网络安全标签项目，着重考虑消费者的使用便利性。

该行政命令要求商务部下属的国家标准与技术研究院（NIST）与联邦贸易委员会（FTC）协同工作，制定一套标准和指南，以便消费者能够根据自己所拥有或打算购买的产品的安全水平做出明智的选择。

美国网络信任标志：物联网产品开发人员安全指南

NIST于2020年发布了NISTIR 8259系列标准，为物联网产品开发人员提供了通用和行业无关的网络安全指南。由于该指南较为通用，NIST在2022年9月基于消费者物联网产品的网络安全需求，推出了一个更具体的标准：NIST 8425，以进行补充。NIST 2022版标准吸取了过去的网络攻击教训，例如Mirai恶意软件和家用安全摄像头数据的非法窃取。这项标准是美国网络信任标志的重要依据。参与网络安全标签计划的物联网消费电子设备制造商需要遵循NIST的指南，并对其产品进行相应的认证。通过认证的制造商可以在其产品上贴上美国网络信任标志，以展示其网络安全水平。他们还要在产品上附上一个二维码，买家在购买了物联网设备后可以扫描该二维码，以确认该设备是否随着网络安全威胁的变化和补丁的更新，保持了认证的标准。

值得注意的是，美国网络信任标志和NIST 8425不仅涉及设备和物联网终端设备，还包括产品运行所依赖的其他组件，如云服务器和手机应用程序。

NIST 8425标准不只规范了终端产品和相关组件的功能，也涵盖了物联网产品开发人员的活动。这意味着智能设备制造商必须遵循安全准则，从开发初期就制定公司流程，并记录风险评估、要求和规范等内容。该流程应在开发周期的每个阶段执行，内容包括：制作软件物料清单（SBoM）、检查产品是否达到NIST 8425标准、测试产品对已知漏洞的防御能力。它还覆盖了设备的整个生命周期，向客户和物联网产品生态系统中的其他参与者提供网络安全相关的信息。它还指导客户如何安全地使用产品，并及时通知公众和客户有关网络安全的信息和事件，如支持条款更新、漏洞发现、维护操作等。此外，它还能接收并处理影响产品安全的问题报告。

因此，美国网络信任标志不仅仅是政策，更是消费电子行业在产品安全、新实践、流程和客户支持等方面实现范式转变的标志。该计划虽是自愿性的，却是一场更大规模运动的基础，因为安全和隐私已成为消费者的购买动力。物联网产品开发人员只要实施网络安全保护，就能赢得消费者的青睐。物联网产品开发人员如果拥有成熟的网络安全能力，就能让他们的产品脱颖而出，并赢得市场的青睐。其他物联网产品开发人员可以借此与供应链安全专家（如恩智浦）携手打造成熟的网络安全。

恩智浦的EdgeLock Assurance计划：让您的物联网设备安全无忧

随着市场的发展，恩智浦深知客户对安全性的需求日益增长，因此致力于提供易于部署和使用的安全解决方案。2020年，恩智浦推出了EdgeLock Assurance保障计划，这是一项全面的安全计划，涵盖了技术和非技术方面，旨在满足NIST 8425标准的要求，并为客户带来创新的安全体验。

EdgeLock Assurance保障计划是恩智浦为物联网产品开发人员提供的一项全方位的安全计划，既能帮助他们达到NIST 8425安全标准，又能让他们获得美国网络信任标志的认证。该计划不仅支持产品开发人员的各项活动，还赋予产品强大的安全能力。

恩智浦EdgeLock Assurance 信任标志是恩智浦对其元器件安全性的承诺，它不仅遵循行业最佳安全实践，还通过了严格的审查，达到了相关标准的要求，让客户放心和满意。

EdgeLock Assurance计划中的产品都是基于恩智浦的安全设计方法打造的。该计划帮助物联网产品开发人员使用恩智浦元器件满足NIST 8425标准和美国网络信任标志的要求，包括产品文档、合规证明、产品生命周期的维护和支持等方面。

• EdgeLock Assurance保障计划是恩智浦的一项安全保障措施，它采用了安全成熟度流程（SMP），这是一个必须遵循的流程，用于确保所有恩智浦新产品的安全功能都经过了严格的检验和验证。
• 设备的安全概念、架构、设计和实现都经过了安全专家的严格审查和评估。
• 恩智浦内部漏洞实验室在进行渗透测试、模拟和芯片分析的同时，也负责产品开发过程的阶段关口和里程碑。

恩智浦产品安全事件响应小组（PSIRT）负责处理发布后生命周期中可能发生的产品安全事件。恩智浦PSIRT与安全社区、客户和合作伙伴保持密切合作，实现负责任和一致的安全信息披露。

系统安全解决方案：一种统一的方法。

互联设备是由多个部分组成的复杂系统，它们都需要有可靠的安全基础来支撑。无论是固件、操作系统、连接库还是应用软件，都要依赖这些安全基础来保证设备的正常运行。硬件是保障安全的坚实基础，它不像软件那样容易被篡改；尤其是，芯片和底层固件是这些终端产品的信任之源。

恩智浦依据EdgeLock Assurance保障计划，在该领域拥有数十年的硬件和软件网络安全投资和领导经验。它为物联网产品开发人员提供了一系列端到端的安全解决方案，既能满足NIST 8425产品功能要求，又能在设备生命周期内保持这些功能的安全性。这是获得并长期保持美国网络信任标志的关键。

恩智浦提供独立的物联网安全元件（EdgeLock SE05x系列产品）。恩智浦安全元件是全球主要物联网设备制造商的首选，它们已经集成在数百万物联网设备中，无论是什么类型的处理器或连接芯片，都能轻松插入。它们不仅提供安全的加密功能，还能保证设备凭证的安全存储和管理。这些能力能够有效地保护NIST 8425所定义的资产。恩智浦边缘处理产品已经专门预集成了，让您能够快速、方便、安全地使用它们。这样的安全元件不仅具有可扩展性，还能在OEM的物联网设备组合中实现复用。

恩智浦还在越来越多的连接和处理平台上集成了安全区域或子系统。这为消费者网络（例如，智能家居或Matter）的每个节点和各类智能设备提供了无缝、协调和高水平的保护。最新一代应用处理器i.MX 93和i.MX 8ULP、三频器件RW612（Wi-Fi^® 6、Bluetooth^® Low Energy（BLE）5.3、802.15.4）、多协议无线MCU K32W148（Thread、BLE 5.3、ZigBee）及最新的MCX N MCU系列都展示了恩智浦统一的、系统安全解决方案方法。

EdgeLock安全区域是集成到处理器中的专用安全单元，但与处理器的其他硬件和应用软件相隔离。它提供身份识别、可信身份验证、访问控制、加密服务、设备完整性控制和保护。因此，实现NIST 8425的资产识别、安全产品配置（认证访问、安全启动）、数据保护、接口访问权限控制（安全调试、总线和网络认证）和网络状态感知是一个优先选项。

此外，恩智浦还为该领域的设备管理打造了端到端的解决方案，让设备制造商能够迅速申请即将推出的美国网络信任标志，并将拥有成本降到最低，即：

• 通过合作伙伴进行设备操作系统（OS）和软件无线（OTA）更新
• 安全的设备凭证管理：恩智浦EdgeLock 2GO服务提供了一个全包式可扩展的解决方案，可以在工厂或现场无缝预配置凭证并在设备生命周期内对其进行管理。恩智浦EdgeLock 2GO平台也已获得认证，成为了Matter设备的产品认证机构。

恩智浦虽然支持不同级别的安全稳健性，但使用更先进的硬件安全解决方案（如基于集成区域的处理器实施方案和安全元件）能够有效地缓解和管理软件中潜在的漏洞。这些部署方案能够为关键软件组件提供良好的隔离和保护，这对于OEM在未来保持其美国网络信任标志是一个重要的考量因素。

第三方安全评估

EdgeLock Assurance计划特别涵盖了经过第三方安全评估的产品的Certified EdgeLock Assurance类别，这些评估是基于定义的框架（如物联网平台通用标准或安全评估标准(SESIP)）进行的。

作为SESIP标准的联合开发者和先行采用者，恩智浦致力于简化和加速物联网安全的部署，并遵循相关的法规和标准。为此，恩智浦提出了物联网组件预认证的概念，通过这个概念，恩智浦芯片获得的SESIP证书可以被物联网产品开发人员复用于物联网设备认证，比如美国网络信任标志。

恩智浦目前正与连接标准联盟（CSA）的产品安全工作组合作，推动这种方法在消费电子领域的标准化。连接标准联盟还制定并推出了智能家居互操作性标准Matter。

CSA的产品安全工作组致力于创建一个全球消费电子物联网产品安全认证计划。该认证计划旨在满足世界各地新出台的标准和法规的要求，包括美国网络信任标志和欧洲的网络弹性法案。

恩智浦非常自豪能成为CSA成员企业的合作伙伴，支持白宫和FCC的公告。

美国网络信任标志预计于2024年推出。敬请关注恩智浦的精彩更新！请随时与我们联系，提出您的意见或疑问，同时也请不要错过与我们亲自会面的机会：9月2日，Carlos Serratos将出席德国柏林国际消费电子品展（IFA Consumer Electronics Unlimited），并在会上介绍与CSA产品安全工作组合作取得的令人兴奋的成果。这将是一个学习和参与的好机会，您可以支持网络弹性，推动安全物联网生态系统的建设。

作者

Denis NOЁL

Denis目前担任恩智浦半导体安全互联边缘业务部的战略与市场总监。他主要负责恩智浦边缘处理产品组合的安全战略，并促进恩智浦MCU产品在工业领域的市场覆盖。Denis在连接、安全和半导体领域具有深厚的专业知识，他在全球高科技公司有着超过25年的从业经验。在成为安全互联边缘业务部的战略与市场总监之前，他曾担任智能产品认证产品市场主管，推动NFC、独立安全元件和云安全服务在物联网领域的使用。在此之前，Denis曾在泰雷兹、飞利浦以及后来的恩智浦担任多个业务拓展、市场营销、研发和管理职位。他主导了多个创新和技术开发项目，覆盖无线局域网、超低功耗无线体域网（WBAN）、车载网络、航空电子传输、数字视频广播系统和安全RFID标签等领域。他拥有比利时鲁汶大学电气工程硕士学位和管理学硕士学位。

Carlos Serratos

Carlos是物联网安全和合规方面的专家。在恩智浦担任物联网认证专家期间，他与不同垂直行业和地区的政策制定者、监管机构和行业进行了沟通，以解决合规性、风险管理和问责制方面的信任支持问题。他是安全监管合规性、方案和标准制定以及它们在物联网市场的适用性方面的专家。目前，他正在参与连接标准联盟的产品安全工作组，共同主持产品安全认证和监管活动。