EN 303 645

EN 303 645 — norma kybernetickej bezpečnosti pre spotrebiteľské zariadenia IoT

ETSI EN 303 645 (celý názov: Cyber Security for Consumer Internet of Things: Baseline Requirements — kybernetická bezpečnosť pre spotrebiteľský internet vecí: základné požiadavky) je európska — a dnes už celosvetovo referenčná — základná norma kybernetickej bezpečnosti pre spotrebiteľské zariadenia IoT. Vypracoval ju ETSI (Európsky inštitút pre telekomunikačné normy) a prvýkrát bola uverejnená v júni 2020; definuje 13 skupín bezpečnostných ustanovení a súbor ustanovení o ochrane údajov (v aktuálnej verzii deväť), ktoré stanovujú minimálnu úroveň kybernetickej bezpečnosti, akú by malo mať každé spotrebiteľské zariadenie pripojené k internetu.

EN 303 645 je dobrovoľná základná úroveň: delegovaný akt RED ani CRA na ňu neodkazujú, odkazujú však na ňu predpisy Spojeného kráľovstva o bezpečnosti výrobkov a norma poslúžila ako základ národných schém označovania kybernetickej bezpečnosti v Singapure a Nemecku a tiež vo Fínsku, kým sa tam v roku 2024 neprestali udeľovať nové označenia.

Kľúčové fakty

13 bezpečnostných ustanovení

EN 303 645 zoskupuje svoje bezpečnostné ustanovenia do 13 kapitol (5.1–5.13). Každé jednotlivé ustanovenie je buď povinné (SHALL), alebo odporúčané (SHOULD); kapitoly 5.7, 5.9, 5.10 a 5.12 obsahujú len odporúčania. Odporúčanie, ktoré sa neuplatní, treba písomne zdôvodniť (ustanovenie 5.0-1):

Ustanovenie 1: Žiadne univerzálne predvolené heslá

Ustanovenie s najväčším dosahom. Každé zariadenie IoT musí buď:

• byť dodané bez predvoleného hesla, pričom si heslo musí nastaviť používateľ pri nastavovaní zariadenia, alebo
• mať jedinečné heslo pre každé zariadenie, vygenerované spôsobom, ktorý ho robí nepredvídateľným

Zdieľané predvolené prihlasovacie údaje (napr. admin/admin, root/1234), ktoré sú rovnaké na všetkých kusoch daného modelu, sú zakázané. Už toto jediné ustanovenie odstraňuje najbežnejší vektor útoku na IoT za posledné desaťročie — útoky skúšaním prihlasovacích údajov (credential stuffing) proti predvoleným heslám.

Dôsledok pre hardvér: Heslá jedinečné pre každé zariadenie musia byť bezpečne uložené v energeticky nezávislej (non-volatile) pamäti a musia prežiť obnovenie výrobných nastavení (alebo sa po ňom vygenerovať znova). To si vyžaduje proces zavádzania údajov do zariadení (provisioning) už pri výrobe.

Ustanovenie 2: Zavedenie politiky zverejňovania zraniteľností

Výrobcovia musia uverejniť jasnú a dostupnú politiku zverejňovania zraniteľností (VDP), ktorá:

• poskytuje kontaktné údaje pre bezpečnostných výskumníkov
• uvádza lehotu na prvotné potvrdenie prijatia hlásenia
• uvádza lehoty na informovanie o stave až do vyriešenia problému

Ide o organizačnú požiadavku — nie o požiadavku na hardvér. Včasné konanie na základe hlásení a nepretržité monitorovanie zraniteľností sú odporúčania.

Ustanovenie 3: Udržiavanie aktuálneho softvéru

Zariadenia musia mať bezpečný mechanizmus aktualizácie, pokiaľ tomu nebráni obmedzenie zdrojov dané prípadom použitia, a:

• procesy aktualizácie musia byť pre používateľa jednoduché (nesmú vyžadovať odborné znalosti)
• pri aktualizáciách doručovaných cez sieť sa musí overiť pravosť a integrita
• aktualizácie musia byť včasné — kritické zraniteľnosti sa musia riešiť urýchlene
• výrobca musí zverejniť stanovené obdobie podpory
• upozornenie používateľa, že je potrebná bezpečnostná aktualizácia, je odporúčaním

Dôsledok pre hardvér: Norma nepredpisuje doručovanie OTA ani ochranu proti návratu k staršej verzii (rollback); politiku anti-rollback založenú na kontrole verzie spomína len ako príklad. Ochrana proti návratu k staršej verzii je napriek tomu správna prax. Ak MCU nedokáže anti-rollback implementovať (napr. pomocou monotónnych počítadiel v bezpečnom úložisku), stávajú sa uskutočniteľnými útoky prechodom na staršiu verziu firmvéru (downgrade).

Ustanovenie 4: Bezpečné ukladanie citlivých bezpečnostných parametrov

Prihlasovacie údaje, kryptografické kľúče a ďalšie citlivé parametre musia byť uložené s primeranou ochranou. Prihlasovacie údaje napevno zapísané vo firmvéri sú zakázané.

Dôsledok pre hardvér: Citlivé parametre by mali byť uložené v hardvérovo chránenom úložisku (Secure Element, pamäť chránená technológiou TrustZone, oblasti uzamknuté poistkami eFuse). Čisto softvérové ukladanie v bežnej pamäti flash je pre prípady použitia s vysokými nárokmi na úroveň záruk nedostatočné.

Ustanovenie 5: Bezpečná komunikácia

Zariadenie musí na bezpečnú komunikáciu používať kryptografiu podľa osvedčených postupov; norma zámerne neuvádza žiadne protokoly ani verzie. Okrem toho:

• Chránené tajomstvá — kritické bezpečnostné parametre posielané cez vzdialene prístupné rozhrania musia mať chránenú dôvernosť
• Autentifikovaná konfigurácia — zmeny konfigurácie dôležité z hľadiska bezpečnosti vykonávané cez sieť musia vyžadovať autentifikáciu
• Odporúčané — autentifikácia pred akýmkoľvek sieťovým prístupom k funkciám zariadenia

Samotná norma nestanovuje žiadnu verziu TLS: zastarané protokoly (SSLv3, TLS 1.0, WEP, WPA) nie sú osvedčeným postupom a TLS 1.2 alebo novší (prednostne TLS 1.3) je zvyčajným výkladom pre internetovú komunikáciu — ide o výklad, nie o text normy.

Ustanovenie 6: Minimalizácia exponovaných plôch útoku

Zariadenie by malo vystavovať len to, čo potrebuje jeho zamýšľaná funkcia:

• nepoužívané sieťové rozhrania a logické rozhrania prístupné cez sieť musia byť vypnuté
• ladiace rozhrania (JTAG, SWD, UART) musia byť vypnuté alebo chránené autentifikáciou či riadením prístupu
• povolenie len potrebných softvérových služieb a beh softvéru s najmenšími oprávneniami sú odporúčania

Dôsledok pre hardvér: Fyzické ladiace rozhrania (JTAG, SWD) by mali byť v produkčných zariadeniach uzamknuté ochranou pomocou poistiek OTP alebo trvalo vypnuté. Ponechanie aktívneho JTAG na produkčných kusoch je častým zistením bezpečnostných auditov.

Ustanovenie 7: Zabezpečenie integrity softvéru

Zariadenie by malo overovať svoj softvér a reagovať na neoprávnené zmeny — ustanovenia tejto skupiny sú odporúčania (SHOULD), nie povinné požiadavky:

• Secure Boot (bezpečné zavádzanie) — zariadenie by malo overovať svoj softvér mechanizmami bezpečného zavádzania
• overovanie aktualizácií — pokrýva ho ustanovenie 3 (povinné pri aktualizáciách doručovaných cez sieť)
• ak sa zistí neoprávnená zmena softvéru, zariadenie by malo upozorniť používateľa alebo správcu

Dôsledok pre hardvér: Norma uvádza hardvérový koreň dôvery ako jeden zo spôsobov podpory bezpečného zavádzania; nepredpisuje ho. Úplný reťazec bezpečného zavádzania od boot ROM až po aplikačný firmvér, ukotvený v hardvéri (koreňový kľúč vypálený do poistiek OTP), je robustnou implementáciou — čisto softvérové kontroly integrity možno obísť.

Ustanovenie 8: Zabezpečenie bezpečnosti osobných údajov

Táto skupina sa týka osobných údajov pri prenose a senzorov zariadenia:

• citlivé osobné údaje posielané pridruženým službám musia mať dôvernosť chránenú kryptografiou podľa osvedčených postupov (pri ostatných osobných údajoch sa to odporúča)
• všetky externé snímacie schopnosti (napr. optické alebo akustické senzory) musia byť pre používateľa jasne zdokumentované

Súhlas a transparentnosť upravujú samostatné ustanovenia o ochrane údajov (kapitola 6); vymazanie používateľských údajov upravuje ustanovenie 11.

Ustanovenie 9: Odolnosť systémov voči výpadkom

Zariadenia by mali pri strate prístupu k sieti zostať v prevádzke a lokálne funkčné a mali by:

• po obnovení napájania po výpadku sa čisto zotaviť
• k sieťam sa znovu pripájať usporiadaným spôsobom

Ustanovenie 10: Skúmanie telemetrických údajov systému

Ak sa zo zariadení zbierajú telemetrické údaje, mali by sa skúmať z hľadiska bezpečnostných anomálií. Ide o odporúčanie (SHOULD), nie o požiadavku (SHALL).

Ustanovenie 11: Jednoduché vymazanie osobných údajov používateľmi

Zariadenia musia používateľom poskytnúť jednoduchý spôsob, ako zo zariadenia vymazať svoje používateľské údaje (povinné). Vymazanie osobných údajov z pridružených služieb, jasné pokyny a potvrdenie vymazania sú odporúčania.

Ustanovenie 12: Jednoduchá inštalácia a údržba

Procesy nastavenia a údržby by od používateľa nemali vyžadovať odborné znalosti z oblasti bezpečnosti. Bezpečnosť by mala byť zapnutá „štandardne“ (by default) a nemala by si na svoju aktiváciu vyžadovať konfiguráciu používateľom.

Ustanovenie 13: Validácia vstupných údajov

Zariadenia musia validovať údaje vstupujúce cez používateľské rozhrania a cez sieťové rozhrania vrátane API, aby predišli manipulácii a zlyhaniam, ako sú útoky typu injection (povinné).

EN 303 645 a EN 18031: vzťah a rozdiely

Častým zdrojom nejasností je vzťah medzi EN 303 645 a novšou sériou EN 18031:

Praktické usmernenie: Pre rádiové zariadenia v rozsahu pôsobnosti delegovaného aktu RED je EN 18031 sériou harmonizovaných noriem citovanou v Úradnom vestníku; jej uplatnenie je dobrovoľné a predpoklad zhody podlieha uverejneným obmedzeniam. EN 303 645 nezakladá predpoklad zhody podľa RED, zostáva však užitočná ako základná úroveň, pre súlad s požiadavkami trhu Spojeného kráľovstva a pre schémy označovania, ktoré sú na nej postavené.

EN 303 645 a národné/medzinárodné schémy

EN 303 645 sa použila ako technický základ viacerých národných schém pre spotrebiteľský IoT:

Výrobok, ktorý dosiahne zhodu s EN 303 645, má pevný základ pre požiadavky na kybernetickú bezpečnosť na viacerých národných trhoch — čo z tejto normy robí de facto globálnu základnú úroveň.

Skúšanie zhody: ETSI TS 103 701

ETSI TS 103 701 je sprievodná skúšobná špecifikácia k EN 303 645. Poskytuje:

• konkrétne testovacie prípady pre každé ustanovenie
• stanovené skúšobné metódy (black-box, white-box, preskúmanie dokumentácie)
• kritériá vyhovel/nevyhovel pre každú požiadavku

Akreditované skúšobné laboratóriá používajú TS 103 701 na vypracovanie štruktúrovaných protokolov o skúškach, ktoré slúžia ako dôkazy v technickej dokumentácii na účely súladu s predpismi.

Prehľad dôsledkov pre hardvér

Z našej praxe

Pri rozdielových analýzach (gap analysis) podľa EN 303 645 naprieč spotrebiteľskými výrobkami IoT vidíme najpravidelnejšie tieto vzorce:

Ustanovenie 1 nevyhovie približne v 60 % prvých posúdení. Hoci ide o najviac medializovanú požiadavku EN 303 645, zdieľané predvolené prihlasovacie údaje zostávajú vôbec najčastejšou nezhodou, ktorú nachádzame. Často nejde o admin/admin — toho sú si výrobcovia vedomí —, ale o predvolený údaj odvodený od modelu zariadenia (napr. posledné 4 číslice adresy MAC), ktorý je algoritmicky predvídateľný. ETSI TS 103 701 výslovne skúša predvídateľné prihlasovacie údaje jednotlivých zariadení, nielen tie univerzálne. Náprava si vyžaduje zmenu zavádzania údajov (provisioning) na úrovni hardvéru (jedinečné prihlasovacie údaje vygenerované a vložené pri výrobe pomocou HSM) aj zmenu výrobného procesu. Odporúčame pristupovať k tomu ako k úlohe výrobného inžinierstva, nie ako k úlohe pre firmvér.

Ustanovenie 6 a nález JTAG: najčastejšie zistenie bezpečnostných auditov. Vo viac než 80 % posúdení hardvérovej bezpečnosti, pri ktorých dostaneme produkčné kusy (nie inžinierske vzorky), zostáva ladiaci prístup cez JTAG alebo SWD aktívny. Výrobcovia zvyčajne testujú na inžinierskych vzorkách — kde je JTAG zámerne povolený — a produkčné zostavenie firmvéru nezahŕňa prepálenie poistiek OTP ako posledný výrobný krok. Výsledkom je produkčné zariadenie, z ktorého môže každý útočník s ladiacou sondou za 30 £ vyčítať celú pamäť flash, získať prihlasovacie údaje, obísť Secure Boot a nainštalovať ľubovoľný firmvér. Do výrobných testovacích prípravkov zavádzame povinný krok overenia uzamknutia JTAG: každý kus, ktorý po kroku výrobného programovania odpovie na pokus o pripojenie cez JTAG, vyradíme.

Ustanovenie 3 a anti-rollback: často deklarovaný, zriedka správne implementovaný. Mnohí výrobcovia uvádzajú, že ich systém aktualizácií OTA zabraňuje prechodu na staršiu verziu firmvéru. V praxi zisťujeme, že je to implementované ako softvérová kontrola verzie v aplikačnom firmvéri — ktorú triviálne obíde každý útočník, ktorý už zariadenie kompromitoval. EN 303 645 sama anti-rollback nevyžaduje — politiku kontroly verzie spomína len ako príklad —, podľa nášho názoru však robustný anti-rollback potrebuje hardvérové monotónne počítadlo v oblasti pamäte odolnej proti neoprávnenej manipulácii, ktorého hodnotu nemožno znížiť. Na zariadeniach bez Secure Element alebo SoC s podporou TrustZone to čisto softvérovo nie je architektonicky možné implementovať správne. Výber čipovej súpravy (chipset), ktorá anti-rollback podporuje hardvérovo, musí byť návrhovým rozhodnutím od prvého dňa.

Ustanovenie 5 a pripojenia k starším backendom s TLS 1.0/1.1. Výrobok môže na zariadení podporovať TLS 1.3 — a aj tak viesť k zisteniu podľa ustanovenia 5, ak akceptuje prechod na nižšiu verziu TLS 1.0 alebo 1.1, pretože cloudový backend, ku ktorému sa pripája, tieto verzie stále ponúka starším klientom. EN 303 645 sama nedefinuje žiadne skúšky; sprievodná ETSI TS 103 701 porovnáva kryptografiu, ktorú zariadenie skutočne používa, s tým, čo deklaroval výrobca. Najčastejšie to nachádzame pri výrobkoch pripájajúcich sa k existujúcim podnikovým backendom, ktoré neboli aktualizované, keď firmvér zariadenia prešiel na TLS 1.2+. Náprava spočíva v tom, že backend prestane ponúkať zastarané verzie a zariadenie ich bude odmietať — pričom strana backendu je často mimo priamej kontroly výrobcu hardvéru, ak používa zdieľanú cloudovú platformu.

Súvisiace pojmy

• EN 18031 — Séria harmonizovaných noriem citovaná pre delegovaný akt RED; samostatné dielo CEN-CENELEC, nie nové vydanie EN 303 645.
• Delegovaný akt RED — Právny nástroj, na základe ktorého sa požiadavky kybernetickej bezpečnosti podľa článku 3 ods. 3 písm. d), e) a f) RED uplatňujú na vymedzené kategórie rádiových zariadení od 1. augusta 2025; nepredpisuje žiadnu konkrétnu normu.
• CRA — Cyber Resilience Act EÚ; na EN 303 645 neodkazuje — jeho harmonizované normy samostatne vypracúvajú CEN, CENELEC a ETSI.
• Secure Boot — Odporúča ho ustanovenie 7 (SHOULD, nie povinná požiadavka).
• OTA aktualizácia — Ustanovenie 3 vyžaduje bezpečný mechanizmus aktualizácie a overenie aktualizácií doručovaných cez sieť; anti-rollback sa uvádza len ako príklad.
• Hardware Root of Trust — Opierajú sa oň ustanovenia 4 a 7.

Oficiálne referencie

• ETSI EN 303 645 V3.1.3 — bezplatné stiahnutie (etsi.org)
• ETSI TS 103 701 V2.1.1 — špecifikácia posudzovania zhody pre EN 303 645 (bezplatné stiahnutie)
• Delegovaný akt RED, delegované nariadenie (EÚ) 2022/30 — EUR-Lex
• ETSI vydáva svetovo poprednú normu bezpečnosti spotrebiteľského IoT — tlačová správa ETSI (jún 2020)

Zhoda s EN 303 645 sa čoraz viac stáva základným očakávaním pri pripojených hardvérových výrobkoch vstupujúcich na trhy EÚ, Spojeného kráľovstva a na globálne trhy. Inovasense vykonáva rozdielovú analýzu voči všetkým 13 ustanoveniam EN 303 645 — porovnáva existujúce schopnosti hardvéru s každou požiadavkou SHALL, identifikuje potrebné zmeny hardvéru alebo výrobného procesu (provisioning, uzamknutie ladiaceho portu, bezpečné úložisko) a vypracúva dokumentáciu pripravenú na skúšky, určenú na predloženie akreditovanému laboratóriu. Pozrite si naše odborné znalosti v oblasti embedded bezpečnosti a služby v oblasti súladu s predpismi EÚ.