CRA Klasa I: przewodnik zgodności - routery, modemy, switche
Podsumowanie
Domowy router Wi-Fi, modem-router, modem internetowy, węzeł mesh lub switch zwykle planuje się jako produkt Ważny Klasa I. Zastrzeżenie dotyczy funkcji podstawowej: router sprzedawany przede wszystkim jako zapora, IDS/IPS, brama VPN lub urządzenie zarządzania siecią może wymagać innej analizy kategorii.
Pierwszym działaniem dowodowym jest memorandum klasyfikacji i granicy dla konkretnego CPE lub urządzenia sieciowego. Powinno wskazywać sprzęt, firmware, interfejs WAN, stos bezprzewodowy, lokalny panel administracyjny LAN, aplikację mobilną, chmurę ISP lub producenta, kanał zdalnego zarządzania, mechanizm aktualizacji, inwentarz komponentów, okres wsparcia oraz wszelkie modyfikacje firmware pod marką własną lub przez ISP.
| Wariant produktu | Prawdopodobna klasa CRA | Dlaczego |
|---|---|---|
| Konsumencki router Wi-Fi | Ważny Klasa I | Łączność internetowa i routing są funkcją podstawową |
| Modem-router ISP lub CPE | Ważny Klasa I | Produkt łączy klientów z internetem |
| Samodzielny modem kablowy, DSL lub światłowodowy / ONT | Ważny Klasa I, gdy przeznaczony do łączności | Funkcja modemu internetowego jest podstawową |
| Zestaw mesh Wi-Fi | Ważny Klasa I | Węzły mesh tworzą router jako produkt lub rodzinę |
| Hotspot mobilny 4G/5G | Ważny Klasa I | WAN komórkowy to nadal łączność internetowa |
| Switch zarządzalny | Ważny Klasa I | Przełączanie plus płaszczyzna zarządzania pasuje do funkcji sieciowej i poszerza granicę dowodów |
| Switch niezarządzalny lub niekonfigurowalny | Wymaga indywidualnej oceny | Sprawdź, czy to produkt z elementami cyfrowymi i czy istnieje płaszczyzna zarządzania, ścieżka aktualizacji firmware, funkcja chmury/aplikacji lub inna funkcja podłączona, zanim potraktujesz go jak zarządzalny sprzęt sieciowy |
| Router VPN | Wymaga indywidualnej oceny, zwykle Ważny Klasa I | VPN może być bardziej specyficzną funkcją, jeśli tak jest sprzedawany |
| Router sprzedawany jako zapora, UTM lub IPS | Wymaga indywidualnej oceny, możliwie Ważny Klasa II | Zapora lub zapobieganie może stać się funkcją podstawową |
| Komercyjny firmware routera sprzedawany samodzielnie | Wymaga indywidualnej oceny | Sam produkt programowy może być produktem routera |
| CPE pod marką ISP ze sprzętem OEM | Ważny Klasa I, wrażliwy rolowo | Marka własna lub modyfikacje firmware mogą przesunąć obowiązki producenta |
Podstawa klasyfikacji
CRA traktuje routery, modemy internetowe i switche jako produkty Ważne Klasy I, co nie jest tym samym co status zapory Klasy II. Dodatkowe funkcje bezpieczeństwa nie przesuwają routera do Klasy II, dopóki routing i łączność internetowa pozostają jego podstawową sprzedawaną funkcją.
Produkt nie jest Krytyczny tylko dlatego, że stoi na brzegu sieci. Lista Krytyczna jest węższa i nie obejmuje konsumenckich routerów ani CPE ISP jako całości.
Co liczy się jako produkt routera?
Router, modem lub switch jako produkt może zawierać więcej niż plastikowe pudełko:
- bootloader, system operacyjny, jądro, sterowniki bezprzewodowe, stos WAN i usługi LAN;
- modem, ONT, krzem switcha Ethernet, zachowanie VLAN zarządzania i kontrola PoE, gdy są obecne;
- konsola WWW administratora, parowanie aplikacji mobilnej i lokalny portal konfiguracji;
- TR-069, USP/TR-369 lub inny kanał zdalnego zarządzania;
- chmura producenta lub ISP używana do zdalnego dostępu, kontroli rodzicielskiej, telemetrii, koordynacji mesh lub orkiestracji aktualizacji;
- usługa aktualizacji firmware, klucze podpisujące, obraz odtwarzania i proces wsparcia.
Dokumentacja produktu musi też zapisać, co jest poza produktem: konto ISP klienta, urządzenia smart home stron trzecich, reguły sieciowe autorstwa klienta, modem użytkownika sprzedany osobno oraz systemy operatora niżej w łańcuchu, których producent nie dostarcza.
Jaką ścieżkę oceny zgodności powinien zaplanować producent?
Ważny Klasa I nie oznacza automatycznie, że każdy router wymaga oceny przez stronę trzecią, ale kontroli wewnętrznej nie należy zakładać. Jeśli producent może zastosować ogólną ścieżkę kontroli wewnętrznej i w pełni zastosował właściwe normy zharmonizowane, wspólne specyfikacje lub odpowiedni europejski program certyfikacji cyberbezpieczeństwa na poziomie zaufania co najmniej istotnym dla mających zastosowanie wymagań zasadniczych, ścieżka ta może być dostępna. Jeśli te odniesienia nie istnieją, są stosowane tylko częściowo, nie są stosowane lub nie obejmują wszystkich istotnych wymagań, zaplanuj badanie UE typu plus wewnętrzną kontrolę produkcji albo pełne zapewnienie jakości. Ogólne mechanizmy ścieżki oraz wymagana zawartość deklaracji zgodności UE są w przewodnikach ocena zgodności i deklaracja zgodności; ta strona omawia tylko wybór właściwy dla routerów.
Jeśli ten sam wariant sprzętowy jest sprzedawany także jako zapora, brama VPN, urządzenie zarządzania siecią lub zarządzana platforma bezpieczeństwa, utwórz osobne memorandum klasyfikacji dla tego SKU.
Jak termin cyberbezpieczeństwa RED odwzorowuje się na CRA?
Większość routerów i modemów podłączanych do internetu zawiera radio (Wi-Fi, modem komórkowy lub podobne), a ten podzbiór z radiem już przeszedł jedną bramę cyberbezpieczeństwa przed nadejściem CRA. Od 1 sierpnia 2025 r. wymagania cyberbezpieczeństwa dyrektywy o urządzeniach radiowych (RED art. 3 ust. 3 lit. d, e i f, ustanowione rozporządzeniem delegowanym (UE) 2022/30) obowiązują urządzenia radiowe podłączone do internetu, takie jak routery Wi-Fi, węzły mesh, modemy-routery i bramki komórkowe. Urządzenie wyłącznie przewodowe, takie jak router tylko Ethernet lub goły modem DSL, kablowy lub światłowodowy bez radia, jest poza zakresem cyberbezpieczeństwa RED, ale każde z nich nadal jest produktem z elementami cyfrowymi według CRA. Obowiązki zgłaszania CRA zaczynają się 11 września 2026 r., a CRA staje się w pełni stosowalny 11 grudnia 2027 r., gdy uchylenie przez Komisję rozporządzenia delegowanego RED w sprawie cyberbezpieczeństwa na mocy rozporządzenia delegowanego (UE) 2026/339 wchodzi w życie, aby oba reżimy się nie pokrywały.
Dla producenta routerów praktyczna lektura jest taka:
- Między 1 sierpnia 2025 r. a 10 grudnia 2027 r. mające zastosowanie urządzenia radiowe spełniają wymagania cyberbezpieczeństwa RED; ścieżka zharmonizowana biegnie przez serię EN 18031, z ETSI EN 303 645 jako bazą konsumencką, na której się opiera.
- Od 11 grudnia 2027 r. te same obowiązki cyberbezpieczeństwa siedzą pod CRA, z jego szerszymi obowiązkami cyklu życia: konfiguracją bezpieczną domyślnie, procesem obsługi podatności, deklaracją okresu wsparcia oraz obowiązkami zgłaszania, które już zaczynają obowiązywać 11 września 2026 r.
- Router wprowadzony do obrotu przed 11 grudnia 2027 r. wchodzi pod CRA tylko, jeśli zostanie istotnie zmodyfikowany po tej dacie. Jedynym wyjątkiem jest obowiązek zgłaszania, który obowiązuje każdy produkt w zakresie, w tym jednostki już sprzedane.
- Norma zharmonizowana CRA właściwa dla routerów w przygotowaniu to ETSI EN 304 627 (routery, modemy i switche), która odwzorowuje się na Klasę I punkt 12 oraz zasadnicze wymagania cyberbezpieczeństwa. Pozostaje draftem, więc planuj ścieżkę zgodności na normach faktycznie przywołanych w danym momencie i wykorzystaj kontrole zbudowane dla RED (bezpieczne domyślne, podpisane aktualizacje, kontrola dostępu) jako bazę dokumentacji CRA, zamiast zaczynać osobny projekt.
Jakie dowody powinny być gotowe?
| Obszar dowodu | Co zarejestrować dla routera lub modemu-routera | Dlaczego ma znaczenie |
|---|---|---|
| Przewidziane zastosowanie | Router domowy, CPE ISP, modem, ONT, system mesh, hotspot mobilny, switch, router VPN, switch zarządzalny | Klasa wynika z faktycznego wariantu produktu i deklaracji |
| Powierzchnia ataku WAN | DHCP, PPPoE, IPv6, proxy DNS, NAT, domyślne ustawienia zapory, zdalna administracja | Strona WAN przyjmuje niezaufany ruch, zanim użytkownik cokolwiek skonfiguruje |
| Administracja LAN | Konsola WWW, lokalne API, portal konfiguracji, polityka haseł, odzyskiwanie konta, kontrola dostępu | Tu zwykle zdarzają się błędy konfiguracji i własności |
| Bezprzewodowy | Domyślne WPA2/WPA3, decyzja o WPS, izolacja sieci gościnnej, wdrażanie SSID/hasła, firmware układu Wi-Fi | Bezprzewodowe domyślne stają się domyślnymi bezpieczeństwa w domu |
| Zdalne zarządzanie | TR-069, USP/TR-369, chmura producenta, chmura ISP, zdalny dostęp z aplikacji mobilnej | To często różnica między pudełkiem a produktem zarządzanym flotowo |
| Ścieżka aktualizacji | Podpisany firmware, ochrona przed cofnięciem, wydania wgrywane przez ISP, partycja odtwarzania, powiadomienie o aktualizacji | Aktualizacje routera muszą obejmować okres wsparcia i przetrwać gałęzie OEM/ISP |
| Dowody dostawcy | SDK SoC, dostawca Wi-Fi/baseband, bootloader, jądro, stos TLS, usługi DNS/DHCP | Producenci routerów dziedziczą dużą powierzchnię komponentów stron trzecich |
| Dowody ról | Obowiązki OEM, ISP, importera, dystrybutora i marki własnej | Markowane CPE i forki firmware mogą zmienić, kto posiada dokumentację CRA |
Których szczegółów architektury routera nie należy pomijać?
Dowody routera muszą podążać za urządzeniem brzegowym faktycznie wysyłanym. Detaliczny router Wi-Fi, modem-router ISP, ONT PON, modem kablowy, hotspot mobilny, węzeł mesh i switch zarządzalny mają różną ekspozycję WAN, ryzyka zdalnego zarządzania i gałęzi firmware.
| Punkt kontroli architektury | Wezwanie dowodowe dla routera, modemu lub switcha |
|---|---|
| Łańcuch rozruchu i odtwarzanie | Wskaż ROM rozruchu, bootloader, stan bezpiecznego rozruchu, obraz A/B lub jednobankowy, wyzwalacz odtwarzania, licznik anty-rollback i zachowanie resetu fabrycznego. Zachowaj testy nadużyć cofnięcia i odtwarzania. |
| WAN i przygotowanie | Oddzielny Ethernet WAN, PPPoE, DHCP, IPv6, przygotowanie DOCSIS/PON/komórkowe i profile operatorów. Pokaż, które usługi parsują nieuwierzytelnione wejście WAN, zanim istnieje konsola administracyjna. |
| Warstwa Wi-Fi i baseband | Śledź bloby firmware Wi-Fi, konfigurację domeny regulacyjnej, forki hostapd/wpa_supplicant, decyzję o WPS i wdrażanie mesh. Firmware dostawcy należy do śledzenia ostrzeżeń. |
| Zdalne zarządzanie | Dla TR-069/CWMP, USP/TR-369, chmury producenta lub chmury ISP zarejestruj tożsamość kontrolera, zaufanie certyfikatów, zachowanie żądań połączenia, zakres poleceń i możliwość audytu. |
| Sterowanie switcha i mesh | Konsola switcha zarządzalnego, SNMP/API, VLAN, mirroring portów, PoE, EasyMesh lub własne kontrolery mesh wymagają własnych kontroli ekspozycji płaszczyzny zarządzania. Dla switchów niezarządzalnych lub niekonfigurowalnych najpierw sprawdź, czy istnieje cyfrowa powierzchnia zarządzania lub aktualizacji. |
| Gałęzie ISP i marki własnej | Trzymaj macierz gałęzi pokazującą build OEM, fork ISP, profil operatora, zatwierdzenie OTA, właściciela okresu wsparcia i ścieżkę powiadomienia użytkownika. |
| Produkcja i zwrot | Zarejestruj sekrety per urządzenie, wydrukowane dane, politykę powłoki debug, stan UART/JTAG, czyszczenie RMA i odłączenie od chmury. |
Strona WAN to miejsce, gdzie urządzenie najpierw parsuje nieuwierzytelnione wejście, a ta strona zmienia się z technologią dostępu. Detaliczny router Ethernet-WAN, modem-router kablowy, ONT światłowodowy i hotspot komórkowy nie dzielą tego samego kanału przygotowania ani tego samego peera w górę strumienia.
Jak wygląda realny model zagrożeń routera?
Użyj tego jako przykładu głębi oczekiwanej w modelu zagrożeń dokumentacji technicznej. Producent nadal musi przeprowadzić ocenę na realnym routerze, układzie modemu, stosie bezprzewodowym, kanale zdalnego zarządzania, SDK dostawców, własności aktualizacji, deklaracjach sprzedaży i obietnicy okresu wsparcia.
Przykładowy profil produktu
Przykładowy produkt: ExampleCo HomeRouter R1, domowy router Wi-Fi 7 sprzedawany w UE przez kanały detaliczne i ISP pod marką własną. Ma Ethernet WAN, cztery porty LAN, gościnne Wi-Fi, lokalną konsolę WWW administratora, wdrażanie przez aplikację mobilną, opcjonalne zdalne zarządzanie ISP, podpisany firmware OTA, automatyczne sprawdzanie aktualizacji, usługi DNS/DHCP, profile kontroli rodzicielskiej i obraz odtwarzania.
Granica produktu obejmuje sprzęt routera, bootloader, jądro, sterowniki Wi-Fi, usługi WAN, usługi LAN, domyślne ustawienia zapory, lokalną konsolę WWW, parowanie aplikacji mobilnej, chmurę producenta dla zdalnego dostępu, opcjonalnego agenta zdalnego zarządzania ISP, usługę OTA, obraz odtwarzania, stronę wsparcia, punkt przyjęć skoordynowanego ujawniania i proces ostrzeżeń. Wyklucza modem klienta sprzedany osobno, abonament ISP, urządzenia smart home stron trzecich, dostawcę tożsamości użytkownika i systemy OSS/BSS ISP niżej w łańcuchu, chyba że ten sam operator gospodarczy dostarcza je jako część produktu.
Udokumentuj założenia o oczekiwanym użyciu domowym, przygotowaniu ISP, własności administracji i nieobsługiwanych trybach wdrożenia.
Plik produktu | memorandum granicy SKU | plik ryzyka | DoC | rejestr CE | deklaracja okresu wsparcia
Inwentarz komponentów | inwentarz usług | testy domyślnych bezprzewodowych | testy bezpiecznej aktualizacji | przegląd zdalnego zarządzania
Ostrzeżenia dostawców, rejestr wersji SDK, własność gałęzi firmware, klasyfikacja CVE komponentów i dowód propagacji łatek.
Trzymaj macierz gałęzi, rejestr wydań aktualizacji, ślad zatwierdzeń ISP, rejestr ostrzeżeń i rejestr decyzji zgłaszania dla aktywnie wykorzystywanych podatności lub poważnych incydentów bezpieczeństwa.
Gałąź źródłowa, wersja SDK, firmware Wi-Fi, jądro i klucz podpisujący to baza wyjściowa.
Punkt końcowy ACS/USP, marka, konfiguracja domyślna, przepływ zatwierdzeń i właściciel powiadomienia użytkownika są udokumentowane.
Aplikacja mobilna, parowanie chmury, usługa mesh i deklaracja okresu wsparcia pozostają w procesie wydania producenta.
Śledź, czy gałęzie OEM, ISP i marki własnej otrzymały tę samą poprawkę bezpieczeństwa lub udokumentowany wyjątek.
Inwentaryzacja zasobów
| Aktyw | Dlaczego ma znaczenie | Gdzie żyje |
|---|---|---|
| Kontrola ruchu WAN-LAN | Kontroluje ekspozycję gospodarstwa na internet | NAT, domyślne ustawienia zapory, sieci jądra |
| Konto i sesje administratora routera | Daje kontrolę nad DNS, Wi-Fi, przekierowaniem portów, aktualizacjami i resetem | Konsola WWW, aplikacja mobilna, lokalny magazyn tokenów, konto chmury |
| Dane logowania Wi-Fi i izolacja gościnna | Słabe domyślne wystawiają sieć domową i podłączone urządzenia | Konfiguracja Wi-Fi, przepływ uruchomienia, reguły sieci gościnnej |
| Dane logowania zdalnego zarządzania | Dane logowania kontroli floty mogą wpłynąć na wiele routerów | Agent TR-069/USP, magazyn certyfikatów, ACS/chmura ISP |
| Korzeń zaufania podpisu firmware | Chroni kanał aktualizacji routera | Bootloader, bezpieczne przechowywanie, usługa OTA |
| Konfiguracja DNS/DHCP | Może przekierować użytkowników lub złamać łączność | Usługi lokalne, konsola administratora, przygotowanie ISP |
| Stan zarządzania switcha | VLAN, izolacja portów, PoE i dostęp zarządzania mogą wystawić sieci niżej | Konsola switcha zarządzalnego, CLI, SNMP/API, konfiguracja ASIC switcha |
| Stan przygotowania modemu/ONT | Rejestracja, tryb mostek/router i dane logowania zarządzania wpływają na brzeg internetu | Firmware modemu, profil operatora, agent zdalnego zarządzania |
| Logi wsparcia i diagnostyki | Mogą ujawnić SSID, numery seryjne, IP, powiązania kont klientów i dane awarii | Logi urządzenia, aplikacja mobilna, portal wsparcia |
| Stan gałęzi firmware | Dryft gałęzi ISP/OEM może zostawić podatności bez łatek | System Git/wydań OEM, fork ISP, repozytorium OTA |
| Stan bezpiecznego rozruchu i anty-rollback | Chroni ścieżkę odtwarzania i zapobiega powrotom znanych podatnych obrazów | Bootloader, stan eFuse/RPMB/TPM, rejestry produkcji |
| Firmware Wi-Fi/baseband | Firmware radia może wpłynąć na uwierzytelnianie, dostępność i ekspozycję sieci | Układ Wi-Fi, blob firmware, SDK dostawcy, obraz produkcyjny |
Granice zaufania
| Środowisko | Oczekiwana ekspozycja | Konsekwencja ryzyka |
|---|---|---|
| Interfejs WAN | Ciągle wystawiony na niezaufany ruch sieciowy | Błędy parserów i wystawione usługi mogą skompromitować urządzenie |
| Sieć LAN i konfiguracji | Dzielona z punktami końcowymi gospodarstwa i urządzeniami IoT | Lokalni napastnicy mogą atakować administrację, odkrywanie i słabe domyślne |
| Interfejs bezprzewodowy | Osiągalny z fizycznej bliskości | WPS, słabe uruchamianie lub awarie izolacji gościnnej wystawiają LAN |
| Płaszczyzna zarządzania switcha | Osiągalna z VLAN administratora, LAN lub narzędzi operatora zależnie od konfiguracji | Słabe domyślne mogą wystawić VLAN, kontrolę PoE lub porty mirror |
| Ścieżka zdalnego zarządzania | Sięga urządzenia z infrastruktury producenta lub ISP | Wyciek danych logowania lub kompromitacja ACS może skalować się na wiele routerów |
| Ścieżka OTA i odtwarzania | Otrzymuje uprzywilejowane obrazy firmware | Słabe podpisywanie lub cofnięcie podważa wszystkie poprawki bezpieczeństwa |
| Gałąź ISP/marki własnej | Może zmienić firmware, punkty końcowe chmury i okres wsparcia | Obowiązki mogą się przesunąć, gdy marka kontroluje decyzje wydania i wsparcia |
Scenariusze zagrożeń
| ID | Scenariusz zagrożenia | Aktyw zagrożony | Punkt wejścia |
|---|---|---|---|
| R1 | Punkt końcowy administracji WAN włączony domyślnie lub przez profil ISP | Konto administratora, konfiguracja routera | WAN |
| R2 | Hasło pierwszego użycia dzielone, przewidywalne lub drukowane tak, że powtarza się w partiach | Konto administratora, dane logowania Wi-Fi | Uruchamianie |
| R3 | Błąd parsera DHCP, IPv6, DNS lub PPPoE można wywołać przed uwierzytelnieniem | Integralność routera, dostępność | Usługi WAN |
| R4 | Dane logowania TR-069 lub USP wyciekają i pozwalają na zdalne zmiany konfiguracji | Dane logowania zdalnego zarządzania, DNS, kanał firmware | Zarządzanie ISP/producenta |
| R5 | Odtwarzanie OTA przyjmuje niepodpisany lub starszy firmware | Integralność firmware | OTA / odtwarzanie |
| R6 | Gościnne Wi-Fi może kierować do urządzeń LAN lub konsoli administratora | Punkty końcowe gospodarstwa, administracja routera | Bezprzewodowy / LAN |
| R7 | WPS lub uruchamianie QR może być nadużyte po początkowej konfiguracji | Dane logowania Wi-Fi | Uruchamianie bezprzewodowe |
| R8 | Powłoka debug, telnet, SSH lub UART pozostają dostępne w produkcji | Integralność routera, sekrety | Firmware / fizyczny |
| R9 | Fork firmware pod marką ISP pomija poprawkę bezpieczeństwa OEM | Stan gałęzi firmware | Proces wydania |
| R10 | Token zdalnego dostępu aplikacji mobilnej pozostaje ważny po przekazaniu lub resecie fabrycznym routera | Konto administratora, własność | Chmura / aplikacja |
| R11 | Awaria chmury DNS lub kontroli rodzicielskiej tworzy niebezpieczne zachowanie fallback | Integralność DNS, dostępność | Zależność od chmury |
| R12 | Podatność dostawcy w SDK SoC, firmware Wi-Fi lub dołączonym demonie sieciowym nie jest klasyfikowana podczas wsparcia | Integralność routera, dostępność | Komponent dostawcy |
| R13 | Konsola switcha zarządzalnego lub SNMP/API wystawione na LAN użytkownika ze słabymi domyślnymi danymi | Stan zarządzania switcha, integralność VLAN | LAN / płaszczyzna zarządzania |
| R14 | Profil przygotowania modemu lub ONT włącza zdalną administrację lub tryb mostka poza stanem ocenionego wydania | Stan przygotowania modemu/ONT, ekspozycja WAN | Przygotowanie operatora |
| R15 | Tryb odtwarzania, rozruch z przyciskiem reset lub odtwarzanie TFTP przyjmuje nieuwierzytelniony lub cofnięty obraz | Integralność firmware, stan bezpiecznego rozruchu | Bootloader / odtwarzanie |
| R16 | Firmware Wi-Fi, uruchamianie mesh lub zachowanie WPS różnią się między rewizjami sprzętu bez dowodu wydania | Dane logowania Wi-Fi, izolacja gościnna | Bezprzewodowy / SDK dostawcy |
| R17 | Zakres poleceń USP/TR-369 lub TR-069 pozwala na więcej, niż zamierzał profil operatora | Dane logowania zdalnego zarządzania, DNS, OTA | Zarządzanie ISP/producenta |
| R18 | Powiązanie aplikacji lub token własności chmury przeżywa reset fabryczny lub zwrot ISP | Konto administratora, własność | Reset / konto chmury |
Wstępny rejestr ryzyka
| ID | Prawdopodobieństwo | Skutek | Decyzja początkowa | Uzasadnienie |
|---|---|---|---|---|
| R1 | Niskie | Wysoki | Obsłuż przed wydaniem | Wystawiona zdalna administracja daje bezpośrednią kontrolę i jest łatwa do zeskanowania |
| R2 | Średnie | Wysoki | Obsłuż przed wydaniem | Użytkownicy domowi często trzymają domyślne ustawienia, chyba że uruchamianie wymusi zmianę |
| R3 | Średnie | Wysoki | Obsłuż przed wydaniem | Parsery WAN są wystawione przed uwierzytelnieniem |
| R4 | Średnie | Poważny | Obsłuż przed wydaniem | Awarie zdalnego zarządzania mogą skalować się na flotę ISP |
| R5 | Niskie | Poważny | Obsłuż przed wydaniem | Cofnięcie firmware może utrzymać żywe znane podatne buildy |
| R6 | Średnie | Średni | Obsłuż przed wydaniem | Izolacja gościnna to podstawowe oczekiwanie użytkownika |
| R7 | Średnie | Średni | Obsłuż przed wydaniem | Ataki z fizycznej bliskości są realistyczne w mieszkaniach i przestrzeniach dzielonych |
| R8 | Średnie | Wysoki | Obsłuż przed wydaniem | Dostęp debug to powracająca ścieżka ucieczki produkcji |
| R9 | Średnie | Wysoki | Obsłuż przed wydaniem | Dryft gałęzi jest przewidywalny, gdy wydania OEM i ISP się rozdzielają |
| R10 | Średnie | Wysoki | Obsłuż przed wydaniem | Przepływy odsprzedaży routera i zwrotu ISP są przewidywalne |
| R11 | Niskie | Średni | Obsłuż przed wydaniem | Kontrole zależne od chmury potrzebują bezpiecznego zachowania fallback |
| R12 | Średnie | Wysoki | Obsłuż przed wydaniem | Stosy komponentów routera otrzymują podatności przez cały okres wsparcia |
| R13 | Średnie | Wysoki | Obsłuż przed wydaniem | Konfiguracja switcha zarządzalnego może wpłynąć na wiele urządzeń niżej |
| R14 | Niskie | Wysoki | Obsłuż przed wydaniem | Dryft przygotowania może wystawić brzeg internetu w skali floty |
| R15 | Średnie | Poważny | Obsłuż przed wydaniem | Odtwarzanie to uprzywilejowana ścieżka, którą napastnicy i zespoły serwisowe mogą osiągnąć |
| R16 | Średnie | Wysoki | Obsłuż przed wydaniem | Zachowanie radia i mesh często zmienia się z SDK dostawców i rewizjami sprzętu |
| R17 | Średnie | Poważny | Obsłuż przed wydaniem | Błędy zakresu zdalnego zarządzania mogą wpłynąć na floty |
| R18 | Średnie | Wysoki | Obsłuż przed wydaniem | Zwroty routera, odsprzedaż i wymiany ISP to normalne zdarzenia cyklu życia |
Mapowanie kontroli i dowodów
| Zagrożenia | Kontrola projektowa | Dowód, który powinien zachować producent |
|---|---|---|
| R1, R8 | Administracja WAN wyłączona domyślnie, inwentarz usług produkcyjnych, reguły zapory dla zarządzania, brak telnet ani powłoki fabrycznej | Skany ekspozycji, lista kontroli obrazu produkcyjnego, różnica listy usług |
| R2, R7 | Unikalny sekret konfiguracji lub wymuszone tworzenie danych logowania, krótkie okno parowania, WPS wyłączony lub uzasadniony, limity szybkości | Test uruchamiania, dowód generowania danych logowania, przegląd konfiguracji bezprzewodowej |
| R3 | Utwardzanie parserów, fuzzing, separacja uprawnień usług, postawa domyślnego odrzucania WAN | Raporty fuzzingu, projekt izolacji usług, klasyfikacja awarii |
| R4 | Wzajemne uwierzytelnianie, rotacja certyfikatów, przygotowanie z najmniejszymi uprawnieniami, przegląd profilu ACS/USP | Przegląd bezpieczeństwa zdalnego zarządzania, rejestr cyklu życia certyfikatów |
| R5 | Bezpieczny rozruch, podpisany firmware, monotoniczny licznik wersji, sprawdzanie podpisu obrazu odtwarzania | Raport testów OTA, odrzucenie cofnięcia, test odtwarzania |
| R6 | Izolacja sieci gościnnej, konsola administratora nieosiągalna z gościa, testy regresji w węzłach mesh | Test izolacji sieci, test roamingu mesh |
| R9 | Macierz gałęzi OEM/ISP, polityka scalania łatek, zatwierdzenie wydania, dopasowanie końca wsparcia | Macierz gałęzi, rejestr propagacji łatek, ślad zatwierdzeń ISP |
| R10 | Przepływ przekazania własności, odłączenie chmury przy resecie, unieważnienie tokenów, czyszczenie zwróconego urządzenia | Test resetu, test przekazania własności, lista kontroli RMA |
| R11 | Lokalne zachowanie fallback DNS, bezpieczny tryb awarii kontroli rodzicielskiej, jasne powiadomienie użytkownika | Test trybu awarii, dowód powiadomienia użytkownika |
| R12 | Monitorowanie inwentarza komponentów, przyjmowanie ostrzeżeń dostawców, właściciel komponentu firmware, identyfikowalność notatek wydania | Różnica inwentarza komponentów, log ostrzeżeń, rejestr decyzji komponentów |
| R13 | Powiązanie płaszczyzny zarządzania, unikalna konfiguracja administratora, SNMP/API wyłączone lub utwardzone domyślnie, testy izolacji VLAN | Skan ekspozycji, test konfiguracji domyślnej, przegląd zarządzania switcha |
| R14 | Oceniony profil przygotowania, ograniczenia zdalnej administracji, kontrola zmian operatora, ślad cofnięcia i audytu | Rejestr profilu przygotowania, audyt konfiguracji floty, ślad zatwierdzeń operatora |
| R15 | Uwierzytelnione odtwarzanie, podpisany obraz odtwarzania, stan anty-rollback, fizyczne ostrzeżenie odtwarzania, gdzie istotne | Test nadużycia odtwarzania, rejestr łańcucha rozruchu, odrzucenie cofnięcia |
| R16 | Macierz rewizji sprzętu, inwentarz firmware Wi-Fi, testy regresji WPS/mesh, przegląd domeny regulacyjnej | Macierz rewizji, rejestr firmware radia, testy konfiguracji bezprzewodowej |
| R17 | Profil zdalnego zarządzania z najmniejszymi uprawnieniami, inwentarz certyfikatów kontrolera, audyt i zatwierdzanie poleceń | Przegląd profilu TR-069/USP, rejestr cyklu życia certyfikatów, próbka audytu |
| R18 | Przepływ przekazania własności, odłączenie chmury przy resecie, czyszczenie zwrotu ISP, unieważnienie tokenów | Test resetu, lista kontroli zwróconego urządzenia, dowód odłączenia chmury |
Ryzyko szczątkowe po zastosowaniu kontroli
| Obszar rezydualny | Dlaczego pozostaje | Dowód operacyjny |
|---|---|---|
| Dryft gałęzi ISP | Zatwierdzenia wydań OEM i ISP mogą poruszać się w różnym tempie | Macierz gałęzi, ścieżka eskalacji, przegląd różnicy wydań |
| Kompromitacja punktu końcowego gospodarstwa | Złośliwe oprogramowanie na kliencie LAN może nadal atakować lokalną administrację lub ustawienia DNS | Kontrole lokalnego uwierzytelniania, unieważnianie tokenów, alerty administratora |
| Nowe podatności WAN | Kod wystawiony na WAN nadal przyjmuje wrogi ruch w okresie wsparcia | Monitorowanie eksploitów, częstotliwość fuzzingu, awaryjny proces aktualizacji |
| Opóźnienie firmware dostawcy | Dostawcy Wi-Fi i SoC mogą wydawać poprawki według własnych harmonogramów | Rejestr SLA dostawcy, notatki łagodzenia, proces ostrzegania klientów |
Jak powinny działać wsparcie, aktualizacje i zgłaszanie?
Dla przykładu HomeRouter R1 praktyczna dokumentacja CRA powinna zawierać model operacyjny okresu wsparcia, nie tylko dowody wydania pre-market.
| Obszar operacyjny | Dowód do przygotowania |
|---|---|
| Okres wsparcia | Uzasadnienie okresu wsparcia dla SKU detalicznego i SKU pod marką ISP, z datą końca miesiąc/rok widoczną przy zakupie i w interfejsie routera, gdzie technicznie wykonalne. Chyba że oczekiwany czas użycia jest krótszy, planuj co najmniej pięć lat. |
| Dostępność aktualizacji bezpieczeństwa | Poprawki firmware bezpieczeństwa i pakiety aktualizacji bezpieczeństwa pozostają dostępne przez co najmniej 10 lat od wydania lub przez pozostałą część okresu wsparcia, jeśli dłuższy. Obrazy odtwarzania, hashe, notatki wydania i decyzje cofnięcia powinny być zachowane jako dowód, ale nie każdy pakiet niezwiązany z bezpieczeństwem powinien być opisany jako prawny zapis dostępności 10-letniej. |
| Macierz gałęzi OEM i ISP | Która gałąź firmware jest oceniona, kto ją podpisuje, kto zatwierdza wydanie, kto posiada awaryjne poprawki i jak poprawki bezpieczeństwa upstream docierają do buildów pod marką własną. |
| Pojedynczy kontakt do podatności | Bezpośredni kontakt do zgłaszania podatności dla producenta wpisanego, nie tylko wsparcie abonenta lub chatbot. Jeśli ISP jest producentem dla markowanego SKU, ISP posiada drogę przyjęć dla zgłoszeń bezpieczeństwa produktu. |
| Należyta staranność komponentów | Monitorowanie inwentarza komponentów dla jądra, firmware bezprzewodowego, usług DNS/DHCP, stosu TLS, SDK mobilnych i agenta zdalnego zarządzania, z klasyfikacją ostrzeżeń dostawców, powiadomieniem upstream i dzieleniem poprawek, gdzie właściwe. |
| Przepływ aktywnej eksploatacji | Zgłaszanie przez pojedynczą platformę zgłoszeń do CSIRT wyznaczonego jako koordynator oraz do ENISA: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie kontynuacyjne w ciągu 72 godzin, końcowy raport podatności w ciągu 14 dni od dostępności środka naprawczego lub łagodzącego oraz powiadomienie dotkniętych użytkowników lub instrukcje łagodzenia, gdzie właściwe. |
| Przepływ poważnego incydentu bezpieczeństwa produktu | Zgłaszanie przez tę samą platformę i adresatów: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie kontynuacyjne w ciągu 72 godzin, końcowy raport incydentu w ciągu jednego miesiąca od powiadomienia o incydencie oraz koordynacja z klientami/ISP, w tym powiadomienie użytkowników, gdzie właściwe. |
| Spis treści dokumentacji technicznej | Tożsamość produktu, diagram granic, aktywa WAN/LAN/bezprzewodowe, model zagrożeń, rejestr ryzyka, kontrole, dowody testów, inwentarz komponentów, proces aktualizacji, proces obsługi podatności, uzasadnienie okresu wsparcia, instrukcje, deklaracja i rejestr ścieżki zgodności. |
Które bramy walidacji uruchamiają się przed wydaniem?
Wydanie routera nie powinno przechodzić na ogólnej notatce „bezpieczeństwo sprawdzone". Wymień konkretne decyzje, które mogą wstrzymać wysyłkę, i nadaj każdej awarię, przed którą strzeże, kontrolę, która ją zamyka, i artefakt dowodzący, że kontrola faktycznie działa.
- G1Dane logowania pierwszego użyciaBlokuj wydanie
- Awaria
Dzielone lub przewidywalne hasło administratora lub Wi-Fi, lub drukowany sekret powtórzony w partii.
- Kontrola
Unikalny sekret per urządzenie lub wymuszone tworzenie danych logowania; WPS wyłączony lub uzasadniony.
- Dowód
Test uruchamiania i dowód generowania danych logowania.
- Awaria
- G2Ekspozycja WAN po przygotowaniuBlokuj wydanie
- Awaria
Zdalna administracja lub niepotrzebna albo nieoceniona usługa parsująca nieuwierzytelnione wejście WAN jest osiągalna, zanim użytkownik cokolwiek skonfiguruje.
- Kontrola
Administracja WAN wyłączona domyślnie, postawa domyślnego odrzucania, utwardzanie parserów i minimalna lista usług.
- Dowód
Skan ekspozycji WAN po przygotowaniu.
- Awaria
- G3Bezprzewodowe i izolacja gościnnaBlokuj wydanie
- Awaria
Sieć gościnna może kierować do urządzeń LAN lub osiągnąć konsolę administratora.
- Kontrola
Izolacja gościnna domyślnie; konsola administratora nieosiągalna z gościa; regresja w węzłach mesh.
- Dowód
Test izolacji sieci i roamingu mesh.
- Awaria
- G4Ścieżka aktualizacji i odtwarzaniaBlokuj wydanie
- Awaria
OTA lub odtwarzanie przyjmuje niepodpisany lub starszy obraz firmware.
- Kontrola
Bezpieczny rozruch, podpisane obrazy, monotoniczny licznik wersji i odrzucanie cofnięcia.
- Dowód
Wynik testu nieudanego cofnięcia i nadużycia odtwarzania.
- Awaria
- G5Zakres zdalnego zarządzaniaBlokuj, chyba że udokumentowane
- Awaria
Zakres poleceń TR-069 lub USP pozwala kontrolerowi zmienić więcej, niż ma oceniony profil operatora.
- Kontrola
Profil z najmniejszymi uprawnieniami, inwentarz certyfikatów kontrolera, audyt poleceń.
- Dowód
Przegląd profilu i próbka audytu poleceń.
- Awaria
- G6Stos dostawcyWysyłaj z monitorowaniem
- Awaria
Podatność trafia w SDK SoC, firmware Wi-Fi lub dołączony demon sieciowy w oknie wsparcia.
- Kontrola
Inwentarz komponentów z nazwanym właścicielem, śledzenie ostrzeżeń i gotowość backportu.
- Dowód
Decyzja klasyfikacji dotkniętego komponentu.
- Awaria
Kto posiada rozwój routera od koncepcji po wsparcie?
Własność wydania routera zmienia ręce, gdy przechodzi z definicji produktu do floty działającej w domach klientów i sieciach ISP. Tor poniżej daje każdemu etapowi jednego odpowiedzialnego lidera, rejestr, który ten lider utrzymuje aktualny, i bramę, która musi się zamknąć, zanim zacznie się następny etap.
Każde przejście to punkt zamrożenia: granica jest ustalona przed startem architektury, intencja projektu przed kodem, build przed weryfikacją, a wydanie przed wysyłką, po czym firmware jest utrzymywany w działaniu przez okno wsparcia. Zgłoszenie podatności, ostrzeżenie ISP lub dostawcy albo awaria w polu otwiera następne memorandum granicy, listę zagrożeń i inwentarz komponentów, a nie ten, który już został wysłany.
Które rejestry dowodowe należą do dokumentacji?
Dokumentacja powinna pozwolić recenzentowi prześledzić decyzję routerową od tożsamości produktu do kontroli bezpieczeństwa. Każdy wiersz wskazuje na prowadzony rejestr, nie folder rozłączonych zrzutów ekranu.
| Obszar dowodu | Co zarejestrować dla routera, modemu-routera lub switcha |
|---|---|
| Tożsamość produktu | Model, rewizje sprzętu, układ SoC i Wi-Fi, typ WAN, gałąź firmware, wersja aplikacji mobilnej, opcje switcha/mesh |
| Przewidziane zastosowanie | Router domowy, CPE ISP, modem internetowy, ONT, zestaw mesh, hotspot mobilny, switch zarządzalny lub router VPN, z nazwanymi wariantami detalicznymi i pod marką ISP |
| Dokumentacja projektowa cyberodporności | Ekspozycja WAN, domyślne LAN i bezprzewodowe, uprawnienia zdalnego zarządzania, ścieżka OTA i odtwarzania, lista zagrożeń i plan traktowania |
| Inwentarz komponentów | Bootloader, jądro, firmware Wi-Fi, stos WAN-PHY/modemu, usługa DNS/DHCP, stos TLS, agent zdalnego zarządzania, SDK mobilne, z nazwanymi właścicielami i śledzeniem ostrzeżeń |
| Bezpieczne domyślne | Brak dzielonych domyślnych danych logowania, administracja WAN wyłączona domyślnie, podpisane aktualizacje, odrzucanie cofnięcia, izolacja gościnna, zamknięte porty debug, inwentarz usług po przygotowaniu |
| Mechanizm aktualizacji | Podpisany firmware, obraz odtwarzania, stan anty-rollback, mapa gałęzi ISP/OEM, powiadomienie użytkownika o aktualizacji |
| Obsługa podatności | Polityka ujawniania, pojedynczy punkt kontaktu, przepływ klasyfikacji, śledzenie ostrzeżeń komponentów, trasowanie ostrzeżeń ISP/marki własnej |
| Instrukcje użytkownika | Bezpieczne uruchamianie, ustawienie hasła i gościa, ustawienia aktualizacji, ujawnienie końca wsparcia, wycofanie z eksploatacji i reset |
| Identyfikowalność i kontakt | Informacje o typie/partii/serii, kontakt producenta lub ISP, data końca okresu wsparcia oraz pojedynczy kontakt do zgłaszania podatności, który nie jest tylko botem automatycznym |
Co wchodzi w inwentarz komponentów routera?
CRA wymaga inwentarza komponentów czytelnego maszynowo, który identyfikuje komponenty produktu i obejmuje co najmniej zależności pierwszego poziomu, nie nazywając jednak jeszcze jednego ustalonego formatu. Producenci routerów zwykle wybierają CycloneDX lub SPDX. Przekrojowy szczegół mechanizmów inwentarza żyje w dedykowanym przewodniku inwentarza komponentów; ta sekcja obejmuje drzewo właściwe dla routera.
Wydanie routera dostarcza kilka elementów cyfrowych o oddzielnych cyklach aktualizacji, nie jeden binarny plik. Dwa wzorce spełniają minimum CRA: jeden inwentarz komponentów na poziomie produktu z sekcjami oddzielonymi per element (bootloader, jądro, firmware Wi-Fi, stos WAN-PHY, demony sieciowe, TLS, agent zdalnego zarządzania i konsola WWW z przypiętą wersją) albo jeden inwentarz na wysyłany element odświeżany przy każdym wydaniu. Każdy jest dopuszczalny, o ile jest czytelny maszynowo i obejmuje zależności pierwszego poziomu.
Co sprawdza podpis wydania?
Podpis przed wydaniem w UE powinien móc zamknąć cztery foldery rejestrów, pokazane jako Q1 do Q4 poniżej. Pełny indeks dokumentacji siedzi w mapie dowodów powyżej; cztery pytania tutaj to tylko te, które blokują wydanie, gdy folder jest pusty.
| Folder | Pytanie wydania | Wskazówka dowodowa właściwa dla routera |
|---|---|---|
| Q1 Memorandum klasyfikacji | Dlaczego produkt jest tak klasyfikowany? | Funkcja podstawowa (routing i łączność internetowa), przewidziane zastosowanie, deklaracje sprzedaży, wariant detaliczny vs ISP i wybrana ścieżka zgodności |
| Q2 Inwentarz dostarczanych elementów | Czym dokładnie jest produkt? | Sprzęt routera, firmware, usługi WAN/LAN/bezprzewodowe, konsola WWW, agent zdalnego zarządzania, usługa OTA, punkty końcowe chmury i wyłączone systemy klienta/ISP |
| Q3 Pakiet testów bezpiecznej konfiguracji domyślnej | Co jest zabezpieczone domyślnie i jak będzie bezpiecznie aktualizowane? | Brak dzielonych domyślnych danych logowania, administracja WAN wyłączona domyślnie, podpisane aktualizacje, odrzucanie cofnięcia, izolacja gościnna, decyzja o WPS, zamknięte porty debug, inwentarz usług po przygotowaniu |
| Q4 Proces obsługi podatności | Jak podatności i poważne incydenty będą obsługiwane po wysyłce? | Publiczny kontakt, polityka ujawniania, przepływ klasyfikacji, śledzenie ostrzeżeń komponentów, trasowanie ostrzeżeń ISP/marki własnej, gotowość powiadomień 24 godz. i 72 godz. |
Foldery podpisu wydania Q1 do Q4
- Q1 Memorandum klasyfikacji. Dlaczego Klasa I punkt 12? Funkcja podstawowa, przewidziane zastosowanie, deklaracje sprzedaży, wariant detaliczny vs ISP i wybrana ścieżka zgodności.
- Q2 Inwentarz dostarczanych elementów. Sprzęt routera, firmware, usługi WAN/LAN/bezprzewodowe, konsola WWW, agent zdalnego zarządzania, usługa OTA, punkty końcowe chmury i wyłączone systemy klienta/ISP.
- Q3 Pakiet testów bezpiecznej konfiguracji domyślnej. Brak dzielonych domyślnych danych logowania, administracja WAN wyłączona domyślnie, podpisane aktualizacje, odrzucanie cofnięcia, izolacja gościnna, decyzja o WPS, zamknięte porty debug.
- Q4 Proces obsługi podatności. Publiczny kontakt, polityka ujawniania, przepływ klasyfikacji, śledzenie ostrzeżeń komponentów i gotowość zgłaszania dla ostrzeżeń, powiadomień i raportów końcowych.
Brama podpisu: jeśli brakuje rejestru, wydanie nie jest podpisywane.
Jak router przekazywany jest importerowi, dystrybutorowi, ISP i operatorowi?
Przekazanie operatorów gospodarczych: role i sprawdzenia boczne
- 01 Producent / OEM. Posiada pakiet wydania: deklarację, CE, indeks dokumentacji, okno wsparcia i kontakt do zgłoszeń podatności.
- 02 Importer. Weryfikuje pakiet, CE, indeks dokumentacji, datę wsparcia i kontakt do zgłoszeń podatności oraz potwierdza, że otrzymany build to oceniony build: ustawienia regionu bezprzewodowego, profile ISP, certyfikaty zdalnego zarządzania, parowanie aplikacji i punkty końcowe OTA. Wstrzymaj wysyłkę przy wątpliwościach co do któregokolwiek.
- 03 Dystrybutor. Sprawdza widoczne CE, dostarczone dokumenty, deklaracje wsparcia i aktualizacji i nie dodaje deklaracji takich jak „brama bezpieczeństwa", „zapora biznesowa" lub „zarządzane urządzenie VPN", które siedzą poza ocenioną granicą. Wstrzymaj listing, jeśli przesadza ze wsparciem, nie pasuje do deklaracji lub dalej sprzedaje po znanym problemie.
- 04 ISP lub marka własna. Marka, zarządzanie chmurą, własność aktualizacji i operacja zdalnego zarządzania mogą same wyzwalać obowiązki producenta. Umieszczenie routera pod własną nazwą lub istotne zmodyfikowanie go (markowy firmware, nowa chmura, nowy kanał aktualizacji) czyni go producentem dla tej oferty, więc plik dostawcy nie zastępuje własnej analizy roli.
- 05 Operator lub abonent. Odbiera ostrzeżenia i aktualizacje oraz zgłasza problemy. Nie jest producentem.
Sprawdzenie A. Mandat upoważnionego przedstawiciela jest opcjonalny, ale gdzie istnieje, musi być pisemny i obejmować trzymanie deklaracji i dokumentacji dostępnej oraz współpracę z organami. Producent spoza UE bez niego stosuje kaskadę: importer, dystrybutor, w końcu największa baza użytkowników. Bez operatora z siedzibą w Unii w łańcuchu zgłaszania, punkt końcowy zgłaszania trafia do państwa członkowskiego, w którym znajduje się najwięcej użytkowników.
Sprawdzenie B. Importer lub dystrybutor pod własną marką, lub każdy istotny modyfikator, staje się producentem dla dotkniętej oferty.
Najczęstsze pytania
Czy router jest Klasą II, ponieważ ma zaporę?
Nie domyślnie. Normalny router jest zwykle Ważny Klasa I. Staje się pytaniem o Klasę II, gdy zapora, wykrywanie włamań lub zapobieganie włamaniom jest podstawową funkcją produktu.
Czy router dostarczany przez ISP jest objęty?
Tak, jeśli jest wprowadzony do obrotu UE jako produkt z elementami cyfrowymi. Kluczową kwestią praktyczną jest, kto jest producentem dla markowego firmware, okresu wsparcia, kanału aktualizacji i procesu obsługi podatności.
Czy router jest Krytyczny?
Nie. Konsumenckie routery, modemy-routery ISP i switche nie są Krytyczne tylko dlatego, że są ważne dla dostępu do sieci.
Czy komercyjny firmware routera open-source zmienia odpowiedź?
Może. Komercyjnie dostarczany obraz firmware lub dystrybucja urządzeń może sam być produktem z elementami cyfrowymi. Producent powinien udokumentować, co jest wprowadzane do obrotu i kto posiada aktualizacje i obsługę podatności.
Jeśli oprogramowanie faktycznie kwalifikuje się jako wolne i otwarte oprogramowanie i wpada do kategorii Ważnej, CRA ma konkretną opcję zgodności, w której wymagana dokumentacja techniczna jest publiczna w momencie wprowadzenia do obrotu. Nie stosuj tej ścieżki do prywatnego forka firmware ISP lub komercyjnego urządzenia tylko dlatego, że zawiera pakiety open-source.
Czy spełnienie terminu cyberbezpieczeństwa RED oznacza, że router już jest zgodny z CRA?
Nie. Od 1 sierpnia 2025 r. urządzenia radiowe podłączone do internetu spełniają wymagania cyberbezpieczeństwa dyrektywy o urządzeniach radiowych, a te kontrole (bezpieczne domyślne, integralność aktualizacji, ochrona dostępu) są właściwą podstawą. Ale CRA dodaje szerszy cykl życia: udokumentowany proces obsługi podatności, opublikowaną datę końca okresu wsparcia, bezpieczne domyślne w całym produkcie i obowiązki zgłaszania. Rozporządzenie delegowane RED w sprawie cyberbezpieczeństwa jest uchylane od 11 grudnia 2027 r., gdy CRA przejmuje.
Wyzwalacz ponownej kontroli: traktuj plik RED jako punkt startowy i przeprowadź ocenę luki względem zasadniczych wymagań CRA przed 11 grudnia 2027 r.
Która norma zharmonizowana ma zastosowanie do routera według CRA?
Dla fazy urządzeń radiowych zbiór zharmonizowany to seria EN 18031, opierająca się na ETSI EN 303 645 jako bazie konsumenckiej. Norma CRA właściwa dla routerów w przygotowaniu to ETSI EN 304 627 (routery, modemy i switche), która odwzorowuje się na Klasę I punkt 12. Pozostaje draftem, więc potwierdź cytowane normy i wszelkie ograniczenia harmonizacji w momencie oceny.
Rejestr zgodności: krótkie memorandum nazywające normy, na których się polegało, wersję, każde ograniczenie, które nie pasuje do produktu, i wynikową ścieżkę zgodności.
Czy switch zarządzalny jest traktowany jak router i czy switch niezarządzalny jest w zakresie?
Switch zarządzalny ma płaszczyznę zarządzania (konsola WWW, CLI, SNMP/API, VLAN) i ścieżkę aktualizacji firmware, więc zwykle jest traktowany jak Ważny Klasa I sprzęt sieciowy z własnymi dowodami płaszczyzny zarządzania. Czysto niezarządzalny, niekonfigurowalny switch bez powierzchni zarządzania, bez aktualizacji firmware i bez funkcji podłączonej wymaga indywidualnej oceny, czy w ogóle jest produktem z elementami cyfrowymi.
Rejestr granicy: jednolinijkowa notatka per SKU switcha stwierdzająca, czy istnieje powierzchnia zarządzania lub aktualizacji.
Czy zestawy mesh Wi-Fi to jeden produkt czy kilka?
Węzły mesh tworzące system są zwykle produktem routera lub rodziną produktów. Oceniaj zestaw tak, jak jest wysyłany: węzeł kontrolera, węzły satelitarne, przepływ uruchamiania i protokół sterowania mesh. Zaufanie między węzłami i uzgadnianie uruchamiania są częścią bezprzewodowej powierzchni ataku.
Rejestr granicy: nazwij węzły w zestawie, protokół sterowania mesh i metodę uruchamiania w memorandum granicy.
Czy samodzielny modem lub ONT jest objęty, jeśli tylko mostkuje?
Modem, modem kablowy lub ONT światłowodowy przeznaczony do łączności internetowej jest zwykle Ważny Klasa I, nawet w trybie mostka, ponieważ funkcja modemu internetowego jest podstawową funkcją produktu, a urządzenie nadal ma firmware, kanał przygotowania i często agenta zdalnego zarządzania. Tryb mostka vs router zmienia ekspozycję, nie podstawową klasyfikację.
Rejestr granicy: zarejestruj kanał przygotowania, agenta zdalnego zarządzania i czy tryb mostka czy router jest ocenionym domyślnym.
Czy hotspot mobilny 4G lub 5G jest w zakresie?
Tak. WAN komórkowy to nadal łączność internetowa, więc hotspot mobilny lub router 4G/5G jest zwykle Ważny Klasa I. Ścieżka przygotowania komórkowego i obsługa SIM/eSIM są częścią powierzchni ataku WAN.
Rejestr granicy: nazwij moduł komórkowy, ścieżkę przygotowania i kanał zarządzania.
Jak długo musi być wspierany i aktualizowany router?
Okres wsparcia to co najmniej pięć lat, chyba że oczekiwany czas użycia jest krótszy; wiele routerów i CPE ISP działa znacznie dłużej, więc dokumentacja powinna stwierdzać okno, które producent może faktycznie dostarczyć, i pokazać datę końca przed zakupem. Aktualizacje bezpieczeństwa powinny pozostać dostępne przez co najmniej dziesięć lat od wydania lub przez pozostałą część okresu wsparcia, jeśli dłuższy. Ogólne zasady żyją w przewodnikach okres wsparcia i ujawnienie końca wsparcia.
Rejestr wsparcia: uzasadnienie okresu wsparcia dla SKU detalicznego i SKU pod marką ISP, z datą końca widoczną przy zakupie i w interfejsie routera, gdzie wykonalne.
Co liczy się jako bezpieczna aktualizacja routera?
Podpisany obraz firmware, zweryfikowany przez łańcuch bezpiecznego rozruchu, z monotonicznym licznikiem wersji, aby starszy podatny build nie mógł być ponownie zainstalowany, oraz ścieżka odtwarzania, która także odrzuca niepodpisane lub cofnięte obrazy. Aktualizacje wgrywane przez ISP i OEM muszą podążać tą ścieżką.
Artefakt testowy: log weryfikacji podpisanej aktualizacji, test nieudanego cofnięcia i test nadużycia odtwarzania dla dokładnego buildu firmware.
Czy TR-069 lub USP zdalne zarządzanie zmienia granicę produktu?
Jeśli producent lub ISP dostarcza kanał zdalnego zarządzania, jest on wewnątrz granicy i jest ścieżką kontroli floty, nie tylko funkcją operatora. Serwer autokonfiguracji operatora, mechanizm żądania połączenia, zakres poleceń i zaufanie certyfikatów wszystkie należą do oceny.
Dowód: inwentarz certyfikatów kontrolera i macierz zakresu poleceń powiązana z ocenionym profilem operatora.
Kto jest producentem dla CPE pod marką ISP?
Ten, kto wprowadza produkt do obrotu pod własną nazwą lub znakiem towarowym, lub istotnie modyfikuje oceniony produkt. ISP, który zmienia markę sprzętu OEM, forkuje firmware, prowadzi chmurę zarządzania lub posiada kanał aktualizacji, może przyjąć obowiązki producenta dla tego markowego SKU, w tym kontakt do zgłaszania podatności.
Rejestr roli: pisemny podział, kto posiada deklarację, gałąź firmware, kanał aktualizacji, okres wsparcia i kontakt do zgłoszeń.
Jaki jest pierwszy element dowodu, który producent routerów powinien stworzyć?
Krótkie memorandum klasyfikacji i granicy dla dokładnego SKU: router, modem-router, zestaw mesh, switch, hotspot lub router VPN. Nazwij typ WAN, stos bezprzewodowy, powierzchnię administracji LAN, kanał zdalnego zarządzania, usługi chmury, własność aktualizacji, okres wsparcia i wyłączone systemy.
Rejestr klasyfikacji: jednostronicowe memorandum, do którego model zagrożeń, wybór ścieżki zgodności, pakiet importera i deklaracja okresu wsparcia mogą się odnosić.
Co, jeśli podatność zostanie znaleziona w firmware routera po wydaniu?
Podejmij środki naprawcze niezwłocznie i bądź gotowy na sekwencję zgłoszeń: 24-godzinne wczesne ostrzeżenie dla aktywnie wykorzystywanej podatności, 72-godzinne powiadomienie, końcowy raport po dostępności środka naprawczego lub łagodzącego i powiadomienie użytkownika. Dla routera środek naprawczy to zwykle podpisana aktualizacja firmware wgrana w gałęziach OEM, ISP i marki własnej, z udokumentowanym wyjątkiem, gdzie gałąź nie może przyjąć tej samej poprawki. Ogólne mechanizmy zgłaszania żyją w przewodnikach obsługa podatności i skoordynowane ujawnianie podatności.
Rejestr działań naprawczych: dotknięte modele i gałęzie firmware, artefakt podpisanej aktualizacji, ślad propagacji gałęzi, tekst ostrzeżenia dla użytkowników i odniesienie powiadomienia.
Kiedy aktualizować model zagrożeń routera?
Za każdym razem, gdy wysyłany router zmienia się w sposób przesuwający granicę zaufania: nowy typ WAN, nowy profil zdalnego zarządzania, zmiana SDK Wi-Fi lub SoC, nowa zależność od chmury, zmiana uruchamiania mesh, zmiana zachowania portu debug lub nowa gałąź ISP. Notatka wydania nie wystarczy, jeśli zmiana otwiera ekspozycję lub ścieżkę uprawnień. Obowiązki zgłaszania obowiązują od 11 września 2026 r., więc polityka ujawniania i pojedynczy kontakt powinny działać przed tą datą.
Wyzwalacz ponownej kontroli: każda zmiana ekspozycji WAN, domyślnych bezprzewodowych, zakresu zdalnego zarządzania, ścieżki aktualizacji, komponentów dostawcy lub gałęzi ISP otwiera memorandum granicy i model zagrożeń.