ETSI EN 303 645消费级IoT安全规范

目录

1. 标准概述与适用范围
2. 13项安全条款详解
3. 智能家居产品合规实施
4. 测试与认证流程
5. Android App合规检查
6. 与其他标准的关系
7. 合规案例分析

---

1. 标准概述与适用范围

1.1 什么是ETSI EN 303 645？

ETSI EN 303 645 是欧洲电信标准化协会（ETSI）于2020年发布的消费级IoT设备网络安全基准标准。

重要性：

• 欧盟网络弹性法案（CRA）将其作为强制性要求
• 英国已将其作为法律要求（Product Security and Telecommunications Infrastructure Act 2022）
• 成为全球消费级IoT产品的事实标准

适用范围：

消费级联网产品：
├── 智能家居设备
│   ├── 智能音箱
│   ├── 智能灯泡
│   ├── 智能门锁
│   ├── 智能摄像头
│   └── 智能家电
│
├── 可穿戴设备
│   ├── 智能手表
│   ├── 健康追踪器
│   └── 智能眼镜
│
└── 家庭网络设备
    ├── 路由器
    ├── 网关
    └── 智能插座

不适用于：

• 工业IoT设备（参考IEC 62443）
• 医疗设备（有专门的医疗设备标准）
• 汽车电子（有专门的汽车标准）

---

2. 13项安全条款详解

条款1：禁止通用默认密码

要求：

• 设备不能有通用的默认密码（如"admin"/“123456”）
• 每个设备必须有唯一密码或要求用户首次使用时设置密码

Android实现：

// 首次配置强制设置密码
class FirstTimeSetupActivity : AppCompatActivity() {
    override fun onCreate(savedInstanceState: Bundle()) {
        super.onCreate(savedInstanceState)

        if (isFirstTime()) {
            showPasswordSetupScreen()
        }
    }

    private fun showPasswordSetupScreen() {
        // 强制用户设置强密码
        val passwordRules = PasswordRules(
            minLength = 12,
            requireUppercase = true,
            requireLowercase = true,
            requireDigits = true,
            requireSpecialChars = true
        )

        PasswordSetupDialog(
            rules = passwordRules,
            onPasswordSet = { password ->
                // 保存密码（加密存储）
                secureStorage.storePassword(hash(password))
                markSetupComplete()
            }
        ).show()
    }
}

条款2：实施漏洞披露政策

要求：

• 提供公开的安全漏洞报告渠道
• 在合理时间内响应漏洞报告
• 提供漏洞处理流程

实施示例：

## 安全漏洞披露政策

### 报告漏洞

如果您发现我们产品的安全漏洞，请发送邮件至：
security@example.com

### 响应流程

1. **确认收到**：1个工作日内确认收到报告
2. **初步评估**：3个工作日内评估漏洞严重性
3. **定期更新**：每周更新修复进度
4. **修复发布**：
   - 严重漏洞：30天内发布修复
   - 高危漏洞：60天内发布修复
   - 中低危漏洞：90天内发布修复

### 负责任的披露

请在我们修复漏洞后再公开披露。我们承诺：
- 不会对善意报告的安全研究人员采取法律行动
- 修复后会在发布说明中致谢（如您同意）

条款3：保持软件更新

要求：

• 设备必须支持安全更新
• 明确告知用户更新支持期限
• 提供及时的安全更新

OTA更新实现：

class SecureOTAManager {
    // 检查更新
    suspend fun checkForUpdates(): UpdateInfo? {
        val currentVersion = getCurrentFirmwareVersion()
        val latestVersion = apiClient.getLatestVersion(
            deviceModel = getDeviceModel()
        )

        if (latestVersion.version > currentVersion) {
            return UpdateInfo(
                version = latestVersion.version,
                releaseNotes = latestVersion.releaseNotes,
                securityFixes = latestVersion.securityFixes,
                isCritical = latestVersion.containsCriticalSecurityFix
            )
        }

        return null
    }

    // 下载并验证更新
    suspend fun downloadUpdate(updateInfo: UpdateInfo): UpdateResult {
        // 1. 下载固件
        val firmwareFile = downloadFile(updateInfo.downloadUrl)

        // 2. 验证数字签名
        if (!verifySignature(firmwareFile, updateInfo.signature)) {
            return UpdateResult.SignatureInvalid
        }

        // 3. 验证哈希
        val actualHash = calculateHash(firmwareFile)
        if (actualHash != updateInfo.expectedHash) {
            return UpdateResult.HashMismatch
        }

        // 4. 安装更新
        return installUpdate(firmwareFile)
    }

    // 自动更新配置
    data class AutoUpdateConfig(
        val enabled: Boolean = true,
        val onlyOnWiFi: Boolean = true,
        val onlyWhenCharging: Boolean = true,
        val updateWindow: TimeRange? = TimeRange(hour = 2, minute = 0, duration = 2.hours)
    )
}

// 在App中显示更新支持期限
@Composable
fun DeviceInfoScreen(device: Device) {
    Column {
        Text("软件更新支持")
        Text(
            "本设备将获得安全更新至：${device.updateSupportEndDate}",
            style = MaterialTheme.typography.body2
        )
        Text(
            "最后更新时间：${device.lastUpdateDate}",
            style = MaterialTheme.typography.caption
        )
    }
}

条款4：安全存储凭证

要求：

• 凭证必须加密存储
• 不能硬编码在代码中
• 使用安全的密钥管理

实现参见第1篇文章的密钥管理章节

条款5：安全通信

要求：

• 敏感数据传输必须加密
• 使用TLS 1.2或更高版本
• 实施证书验证

实现参见第1篇文章的安全通信章节

条款6：最小化暴露的攻击面

要求：

• 禁用不必要的网络服务
• 关闭未使用的端口
• 移除调试接口

// Android端最小化攻击面
class SecurityHardeningService {
    fun applyHardening() {
        // 1. 禁用调试功能（生产环境）
        if (!BuildConfig.DEBUG) {
            disableDebugging()
        }

        // 2. 移除测试端点
        removeTestEndpoints()

        // 3. 最小化权限
        minimizePermissions()

        // 4. 禁用不必要的服务
        disableUnusedServices()
    }

    private fun disableDebugging() {
        // 检测调试器
        if (Debug.isDebuggerConnected()) {
            throw SecurityException("Debugger detected")
        }

        // 禁用日志输出
        if (!BuildConfig.DEBUG) {
            Logger.setLevel(LogLevel.NONE)
        }
    }

    private fun minimizePermissions() {
        // 只请求必要权限
        val necessaryPermissions = listOf(
            Manifest.permission.INTERNET,
            Manifest.permission.ACCESS_FINE_LOCATION // 如果真的需要
        )

        // 运行时检查权限使用
        PermissionMonitor.verifyOnlyNecessaryPermissionsUsed(necessaryPermissions)
    }
}

条款7：确保软件完整性

要求：

• 实施安全启动（Secure Boot）
• 验证固件签名
• 防止篡改

实现参见第1篇文章的安全启动章节

条款8：确保个人数据受保护

要求：

• 遵守数据保护法规（如GDPR）
• 加密个人数据
• 最小化数据收集

实现参见第2篇GDPR文章

条款9：使系统对故障具有弹性

要求：

• 设备故障不应导致不安全状态
• 实施故障恢复机制
• 保持基本功能可用

// 故障恢复机制
class ResilientDeviceManager {
    // 监控设备健康状态
    suspend fun monitorDeviceHealth() {
        flow {
            while (true) {
                val health = checkDeviceHealth()
                emit(health)
                delay(30.seconds)
            }
        }.collect { health ->
            when (health.status) {
                HealthStatus.HEALTHY -> {
                    // 正常运行
                }

                HealthStatus.DEGRADED -> {
                    // 降级运行，禁用非关键功能
                    disableNonCriticalFeatures()
                    notifyUser("设备运行在降级模式")
                }

                HealthStatus.FAILED -> {
                    // 故障恢复
                    attemptRecovery()
                }
            }
        }
    }

    // 故障恢复
    private suspend fun attemptRecovery() {
        // 1. 尝试重启服务
        if (restartServices()) {
            return
        }

        // 2. 尝试重新连接
        if (reconnectToNetwork()) {
            return
        }

        // 3. 恢复出厂设置（用户确认后）
        if (userConfirmsFactoryReset()) {
            performFactoryReset()
        }
    }

    // 保持基本功能
    private fun enterSafeMode() {
        // 即使云端不可用，本地基本功能仍然工作
        enableLocalControl()
        disableCloudFeatures()
        cacheEssentialData()
    }
}

条款10：检查输入数据

要求：

• 验证所有输入
• 防止注入攻击
• 实施速率限制

// 输入验证
class InputValidator {
    // MQTT消息验证
    fun validateMQTTMessage(topic: String, payload: ByteArray): ValidationResult {
        // 1. 检查topic格式
        if (!isValidTopic(topic)) {
            return ValidationResult.Invalid("Invalid topic format")
        }

        // 2. 检查payload大小
        if (payload.size > MAX_PAYLOAD_SIZE) {
            return ValidationResult.Invalid("Payload too large")
        }

        // 3. 解析并验证JSON
        val json = try {
            Json.parseToJsonElement(payload.decodeToString())
        } catch (e: Exception) {
            return ValidationResult.Invalid("Invalid JSON")
        }

        // 4. 验证必需字段
        if (!hasRequiredFields(json)) {
            return ValidationResult.Invalid("Missing required fields")
        }

        // 5. 验证字段类型和范围
        if (!validateFieldValues(json)) {
            return ValidationResult.Invalid("Invalid field values")
        }

        return ValidationResult.Valid
    }

    // 防止SQL注入（如果使用本地数据库）
    fun sanitizeInput(input: String): String {
        return input
            .replace("'", "''")
            .replace(";", "")
            .replace("--", "")
            .trim()
    }

    // API调用频率限制
    class RateLimiter(
        private val maxRequests: Int,
        private val timeWindow: Duration
    ) {
        private val requestTimestamps = mutableMapOf<String, MutableList<Long>>()

        fun checkLimit(userId: String): Boolean {
            val now = System.currentTimeMillis()
            val userRequests = requestTimestamps.getOrPut(userId) { mutableListOf() }

            // 移除过期的请求记录
            userRequests.removeAll { timestamp ->
                now - timestamp > timeWindow.inWholeMilliseconds
            }

            if (userRequests.size >= maxRequests) {
                return false // 超过限制
            }

            userRequests.add(now)
            return true
        }
    }
}

sealed class ValidationResult {
    object Valid : ValidationResult()
    data class Invalid(val reason: String) : ValidationResult()
}

条款11：确保轻松删除用户数据

要求：

• 提供简单的数据删除机制
• 明确告知删除流程
• 彻底删除数据

实现参见第2篇GDPR文章的删除权章节

条款12：使安装和维护简单

要求：

• 简化初始配置流程
• 提供清晰的安全指南
• 默认启用安全功能

// 引导式初始配置
class OnboardingFlow : AppCompatActivity() {
    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)

        // 步骤1：欢迎和安全说明
        showStep(OnboardingStep.Welcome {
            Text("""
                欢迎使用智能设备！

                为了保护您的隐私和安全，我们将引导您完成安全配置。
                整个过程大约需要5分钟。
            """.trimIndent())
        })

        // 步骤2：设置强密码
        showStep(OnboardingStep.SetPassword {
            PasswordSetupScreen(
                onPasswordSet = { password ->
                    secureStorage.storePassword(password)
                    nextStep()
                }
            )
        })

        // 步骤3：启用多因素认证
        showStep(OnboardingStep.EnableMFA {
            MFASetupScreen(
                onMFAEnabled = {
                    nextStep()
                }
            )
        })

        // 步骤4：配置隐私设置
        showStep(OnboardingStep.PrivacySettings {
            PrivacySettingsScreen(
                defaults = PrivacyDefaults(
                    dataCollection = false, // 默认不收集非必要数据
                    cloudStorage = false,   // 默认本地存储
                    analytics = false       // 默认不发送分析数据
                ),
                onSettingsSaved = {
                    nextStep()
                }
            )
        })

        // 步骤5：安全提示
        showStep(OnboardingStep.SecurityTips {
            SecurityTipsScreen(
                tips = listOf(
                    "定期更新设备固件",
                    "不要在公共WiFi下使用",
                    "不要与他人共享密码",
                    "启用自动锁定功能"
                ),
                onComplete = {
                    finishOnboarding()
                }
            )
        })
    }
}

条款13：验证输入数据

与条款10类似，强调输入验证的重要性

---

3. 合规检查清单

## ETSI EN 303 645 合规检查清单

### 条款1：禁止通用默认密码
- [ ] 每个设备有唯一密码或首次强制设置
- [ ] 不使用"admin"、"123456"等常见密码
- [ ] 密码至少12位且符合复杂度要求

### 条款2：漏洞披露政策
- [ ] 提供公开的安全邮箱
- [ ] 在网站发布漏洞披露政策
- [ ] 建立漏洞响应流程

### 条款3：保持软件更新
- [ ] 支持OTA更新
- [ ] 明确告知更新支持期限（建议至少3年）
- [ ] 验证更新签名
- [ ] 提供自动更新选项

### 条款4：安全存储凭证
- [ ] 使用Android Keystore存储密钥
- [ ] 密码使用bcrypt/Argon2哈希
- [ ] 不在代码中硬编码凭证

### 条款5：安全通信
- [ ] 使用TLS 1.2+
- [ ] 实施证书锁定
- [ ] 验证服务器证书

### 条款6：最小化攻击面
- [ ] 禁用调试接口（生产环境）
- [ ] 关闭未使用的网络端口
- [ ] 移除测试代码

### 条款7：软件完整性
- [ ] 实施安全启动
- [ ] 验证固件签名
- [ ] 防篡改保护

### 条款8：保护个人数据
- [ ] 遵守GDPR
- [ ] 加密敏感数据
- [ ] 实施数据最小化

### 条款9：系统弹性
- [ ] 故障恢复机制
- [ ] 离线模式支持
- [ ] 故障不导致不安全状态

### 条款10：输入验证
- [ ] 验证所有输入
- [ ] 防止注入攻击
- [ ] 实施速率限制

### 条款11：简化数据删除
- [ ] 一键删除账号
- [ ] 彻底删除数据
- [ ] 明确告知删除流程

### 条款12：简化安装维护
- [ ] 引导式初始配置
- [ ] 默认启用安全功能
- [ ] 提供安全使用指南

### 条款13：验证输入数据
- [ ] 验证API输入
- [ ] 验证MQTT消息
- [ ] 防止缓冲区溢出

---

4. 认证与测试

4.1 自测试工具

// ETSI EN 303 645 自动化测试套件
class ETSI_EN_303_645_TestSuite {
    @Test
    fun testNoDefaultPassword() {
        // 测试是否存在默认密码
        val device = connectToDevice()
        val loginResult = device.login("admin", "admin")
        assertFalse(loginResult.success, "设备不应接受默认密码")
    }

    @Test
    fun testTLSVersion() {
        // 测试TLS版本
        val connection = establishConnection(deviceUrl)
        val tlsVersion = connection.tlsVersion
        assertTrue(
            tlsVersion >= TLSVersion.TLS_1_2,
            "必须使用TLS 1.2或更高版本"
        )
    }

    @Test
    fun testFirmwareSignatureVerification() {
        // 测试固件签名验证
        val tampered Firmware = createTamperedFirmware()
        val updateResult = device.updateFirmware(tamperedFirmware)
        assertTrue(
            updateResult is UpdateResult.SignatureInvalid,
            "篡改的固件应被拒绝"
        )
    }

    @Test
    fun testDataEncryption() {
        // 测试数据加密
        val sensitiveData = "user_password"
        val storedData = device.readFromStorage(sensitiveData)
        assertFalse(
            storedData.contains("plain_text"),
            "敏感数据不应明文存储"
        )
    }
}

---

5. 与CRA的关系

ETSI EN 303 645是欧盟网络弹性法案（Cyber Resilience Act）的核心参考标准。

CRA要求：

• 产品必须符合ETSI EN 303 645或同等标准
• 获得CE认证需要证明合规性
• 不合规产品将被禁止在欧盟销售

时间表：

• 2024年：CRA通过
• 2027年：CRA全面实施
• 建议：尽早开始合规工作

---

参考资源

官方文档

• ETSI EN 303 645标准
• ETSI EN 303 645实施指南

测试工具

• IoT Inspector（付费）
• OWASP IoT Testing Guide（免费）

进一步学习

• 下一篇：《欧盟网络弹性法案（CRA）深度解读》
• 相关：《GDPR数据隐私合规实战指南》
• 相关：《IoT安全架构设计全面指南》