IoT Security & Compliance (WIP)¶

Thiết bị IoT là mục tiêu dễ bị tấn công: số lượng lớn, nằm ngoài tầm kiểm soát vật lý, thường dùng lâu năm. Trang này gom các yêu cầu bảo mật riêng cho IoT và các chuẩn, quy định mà sản phẩm phải tuân thủ. Phần kỹ thuật IoT xem IoT cho Linux nhúng.

Mối đe dọa đặc thù của IoT¶

TODO

Botnet từ mật khẩu mặc định (Mirai)
Tấn công vật lý: UART, JTAG, đọc flash
Chuỗi cung ứng và thành phần bên thứ ba
Liên hệ mô hình mối đe dọa

Yêu cầu kỹ thuật¶

TODO

Không dùng mật khẩu mặc định chung, danh tính riêng cho từng thiết bị, xem Provisioning & Device Identity
Mã hóa kênh truyền: TLS, DTLS
Chuỗi khởi động tin cậy: Secure boot và TrustZone
Cập nhật bảo mật được ký: OTA Update
Giảm bề mặt tấn công: tắt cổng debug, dịch vụ không cần thiết

ETSI EN 303 645¶

TODO

Tiêu chuẩn cơ sở cho thiết bị IoT tiêu dùng: 13 nhóm khuyến nghị
Ba yêu cầu cốt lõi: không mật khẩu mặc định chung, chính sách tiếp nhận lỗ hổng, cập nhật phần mềm
Bộ kiểm thử ETSI TS 103 701

EU Cyber Resilience Act (CRA)¶

TODO

Regulation (EU) 2024/2847, có hiệu lực từ 10/12/2024
Nghĩa vụ báo cáo lỗ hổng bị khai thác và sự cố từ 11/9/2026
Toàn bộ nghĩa vụ áp dụng từ 11/12/2027: thiết kế an toàn, SBOM, hỗ trợ bản vá trong thời gian sử dụng
Phân loại sản phẩm và đánh giá sự phù hợp

Các quy định khác¶

TODO

EU RED Delegated Regulation 2022/30 (áp dụng từ 1/8/2025), chuẩn EN 18031
UK PSTI Act (từ 29/4/2024)
US Cyber Trust Mark
NIST IR 8259

Quản lý lỗ hổng trong vòng đời¶

TODO

SBOM, theo dõi CVE, chính sách công bố lỗ hổng
Thời gian hỗ trợ và kết thúc vòng đời sản phẩm