FreeRTOS 獲得 SESIP 3 級認(rèn)證

微信公眾號 | 嵌入式專欄

FreeRTOS 目前的用戶群體已經(jīng)非常大了，但在認(rèn)證這一塊，F(xiàn)reeRTOS 其實(shí)相對來說不算多。最近，F(xiàn)reeRTOS 獲得了 SESIP 3 級認(rèn)證，可以說又給FreeRTOS增色添彩了。

關(guān)于?SESIP 認(rèn)證

SESIP：Security Evaluation Standard for IoT Platforms，物聯(lián)網(wǎng)平臺安全評估標(biāo)準(zhǔn)。

目前最新版是V1.2版：https://globalplatform.org/specs-library/SESIP-Methodology/

SESIP? 認(rèn)證有五個安全級別，范圍從 1 到 5。隨著安全級別的提高，安全水平也會增加測試的復(fù)雜性和難度系數(shù)。

SESIP3 是 IoT 平臺（部分）的重要安全級別。它提供的安全級別是要求評估員進(jìn)行全面的源代碼分析、漏洞分析。SESIP3 是白盒（透明）測試，而不是像SESIP2在沒有開發(fā)人員幫助的情況下執(zhí)行的黑盒測試。

SESIP2 vs SESIP3 評估范圍和深度：SESIP2：涉及更有限的安全評估，側(cè)重于評估目標(biāo) （TOE） 安全功能。SESIP3：需要更全面、更深入的安全分析，包括 TOE 的完整功能規(guī)范、實(shí)施細(xì)節(jié)和指導(dǎo)文檔。

攻擊抗性：SESIP2：評估對 Basic 攻擊潛力的抵抗力。SESIP3：評估對 Enhanced-Basic 攻擊潛力的抵抗力，這是一種更高級別的復(fù)雜程度。

開發(fā)環(huán)境控件：SESIP2：對 TOE 的開發(fā)環(huán)境要求最低。SESIP3：要求為安全開發(fā)環(huán)境提供更強(qiáng)大的控制和證據(jù)。

配置管理：SESIP2：對配置管理有基本要求。SESIP3：需要更廣泛的配置管理實(shí)踐，包括自動化，以確保 TOE 的完整性。

總之，SESIP3 提供了更嚴(yán)格、更全面、更高級別的安全保證，使其適用于安全性要求更高的 IoT 和嵌入式產(chǎn)品。

FreeRTOS 獲得 SESIP 3 級認(rèn)證

FreeRTOS獲得 SESIP 3 級證書認(rèn)證的組件包含：FreeRTOS Kernel V10.6.1、FreeRTOS+TCP V3.1.0、corePKCS V3.5.0、OTA Updates V3.4.0、Mbed TLS等。

FreeRTOS ?認(rèn)證的范圍：正常情況下，與 FreeRTOS 捆綁的所有內(nèi)容都有 SESIP 認(rèn)證。尤其對于 IoT 重要的設(shè)備，當(dāng)應(yīng)用程序用于通信的軟件和硬件堆棧而變得更加復(fù)雜時建立安全網(wǎng)絡(luò)。這里簡單來說一下獲得 SESIP 的優(yōu)勢或好處。

如果我們自己應(yīng)用程序基于（已經(jīng)認(rèn)證的）FreeRTOS組件進(jìn)行認(rèn)證，則認(rèn)證通過的概率更高（如下圖）：

（FreeRTOS 內(nèi)核獲得認(rèn)證）

反之，如果基于沒有認(rèn)證的組件基礎(chǔ)上，我們進(jìn)行認(rèn)證的話，通過的概率很低。比如其中一個組件（FreeRTOS內(nèi)核）修改了，或者沒有認(rèn)證的情況下（如下圖）：（修改FreeRTOS 內(nèi)核，未獲得認(rèn)證）

最后，你認(rèn)為像 FreeRTOS這種RTOS以及組件，有必要認(rèn)證嗎？