45、嵌入式系统安全认证与社区反馈闭环

嵌入式系统安全认证与社区反馈闭环

一、产品原型与安全建议

在进行产品原型或候选版本开发时，有以下安全方面的建议：
1. 从最高安全级别开始 ：确保产品从一开始就具备较高的安全防护能力。
2. 仅启用关键服务 ：只开启对设备功能至关重要的套接字、端口或服务。
3. 使用非根服务账户 ：创建可运行 systemd 服务的非根服务账户，用于支持和扫描活动。
4. 启用 SSH ：保证每个主机都启用 SSH 服务。
5. 安装 openscap - utils 包 ：该包有助于进行安全扫描和合规性检查。

长期来看，如果不将合规性扫描集成到流程中并实现自动化，可能会对产品质量产生负面影响。在产品的整个生命周期中，都不能忽视安全问题，要将安全融入到每个流程中。

二、产品认证：FIPS 140 - 3 认证

在众多认证中，对于安全方面，FIPS 140 - 3 认证是非常重要的。不过，这个认证过程并不简单：
1. 认证性质 ：它不仅仅是软件认证，还涉及特定硬件上的软件验证。不同的测试实验室在每个测试周期可能会使用不同的硬件平台。
2. 认证成本 ：根据产品解决方案的安全级别，向 NIST 支付的费用在 1000 美元到超过 4000 美元不等，而且还不包括实验室收取的费用。
3. 寻找认证实验室