Foundries.io, in samenwerking met Arduino, heeft zijn beveiligingssoftware in het bord geïntegreerd Arduino Portenta X8. Daarmee is deze module de eerste SoM (System on Module) geworden die voldoet aan de CRA-regelgeving van de Europese Unie. Een hele prestatie, en iets dat de creatie van veel projecten mogelijk zal maken die verenigbaar moeten zijn met deze wet.
Zoals u weet is de Arduino Portenta X8 een ontwikkelbord zoals elke andere Arduino, maar het was de eerste die een Arm-gebaseerde processor die het GNU/Linux-besturingssysteem kan draaien en met uitbreidingsmogelijkheden via plug-ins die bekend staan als HAT.
Wat is CRA?
La Wet Cyberweerbaarheid (CRA) heeft tot doel consumenten en bedrijven die producten of software met digitale componenten gebruiken, te beschermen door cyberveiligheidsproblemen aan te pakken. Het beoogt tekortkomingen in de beveiliging weg te nemen door verplichte cyberbeveiligingseisen voor fabrikanten en detailhandelaren in te voeren. De wet pakt twee belangrijke problemen aan:
- Het ontbreken van adequate cybersecurity in veel producten en het onvermogen van gebruikers om de cybersecurity van de producten te bepalen.
- De CRA zal geharmoniseerde normen vaststellen, een raamwerk van cyberbeveiligingsvereisten en -verplichtingen voor de gehele levenscyclus van producten.
Wanneer deze van kracht wordt, zullen producten de CE-markering dragen om aan te geven dat ze aan de nieuwe normen voldoen, zodat consumenten weloverwogen beslissingen kunnen nemen over cyberbeveiliging. Het zal van toepassing zijn op producten die met internet zijn verbonden, met uitzondering van specifieke gevallen zoals open source-software. Het wordt verwacht dat treedt begin 2024 in werking, waarbij fabrikanten de normen 36 maanden later toepasten. De Commissie zal de wet periodiek herzien.
De nieuwe EU CRA-verordeningen specificeert de minimale beveiliging voor alle IoT-apparaten in Europa, inclusief:
- Stel normen vast voor veilige producten met digitale elementen in de hele EU.
- Verplicht fabrikanten om veiligheid als prioriteit te beschouwen.
- Vergroot het bewustzijn van gebruikers over het belang van cyberbeveiligingsfuncties.
- Vereisen dat Original Equipment Manufacturers (OEM's) snel kwetsbaarheden aanpakken in apparaten die al in gebruik zijn.
De Cyberaanvallen hebben voor kostbare problemen gezorgd, die bedrijven, overheden en individuen treffen. De economische verliezen als gevolg van de onderbreking van bedrijfsactiviteiten, diefstal van vertrouwelijke gegevens, afpersing en schade aan de bedrijfsreputatie zijn aanzienlijk. Naast directe kosten genereren cyberaanvallen ook extra kosten om de cyberbeveiliging te verbeteren, getroffen systemen te repareren en de juridische en regelgevende gevolgen aan te pakken. De toenemende verfijning van aanvallen en de grote verscheidenheid aan doelwitten onderstrepen de cruciale behoefte aan effectieve maatregelen om cyberdreigingen te voorkomen, op te sporen en te beperken. En dit is de Amerikaanse CRA…
Details van de Arduino Portenta X8 met CRA
Zoals ik heb besproken, moeten alle digitale producten onder de komende EU-regelgeving aan nieuwe veiligheidsnormen voldoen, behalve in specifieke categorieën zoals bepaalde medische apparaten, luchtvaartapparatuur en motorvoertuigen. Afhankelijk van hun risiconiveaus vereisen sommige producten een onafhankelijke veiligheidsbeoordeling. Bovendien moeten Original Equipment Manufacturers (OEM's) ervoor zorgen dat deze producten deze veiligheidsbeoordelingen doorstaan voor verkoop in landen binnen de EU, en de naleving van deze wet zal worden gecontroleerd.
Op deze manier kan Arduino Portenta X8 gecertificeerd worden producten met het label ‘zeer kritisch’ die extra beveiliging nodig hebben. De EU schat dat deze nieuwe standaard jaarlijks tussen de 180 en 290 miljard euro kan besparen door cyberaanvallen terug te dringen, aangezien deze een ernstig probleem zijn geworden voor organisaties en bedrijven, maar ook voor individuele gebruikers.
Om ervoor te zorgen dat de Arduino Portenta X8 CRA-compatibel is, beide Foundries.io en Arduino hebben samengewerkt om beveiligingsverbeteringen in deze SoM door te voeren. Zoals u weet is Foundries.io een bedrijf dat cloud-native ontwikkel- en implementatieoplossingen biedt voor veilige IoT- en Edge-apparaten, en is daarom een goede bondgenoot van Arduino om aan deze Europese beveiligingsnormen te voldoen.
Dankzij deze samenwerking kunnen Arduino Portenta X8-gebruikers eenvoudig apparaatbeveiliging, gegevensbescherming en softwarebeheer efficiënt in één beheren cloudgebaseerde omgeving. Het zal ook extra beveiliging bieden tegen alle bekende vormen van cyberaanvallen en malware, en zorgen voor snelle reacties op nieuwe kwetsbaarheden, waardoor snelle firmware-updates mogelijk zijn om deze risico’s te verhelpen.
De Arduino Portenta X8 biedt een reeks beveiligingsfuncties van het Linux Micro-platform en het FoundriesFactory-platform, die zij omvatten:
- Veilig opstarten
- Een vertrouwde uitvoeringsomgeving
- Beheer op afstand
- Veilige sleutels installeren
- Cloud-authenticatie
- Beveilig OTA-updates (Over-The-Air) met TUF-ondersteuning
- Een software stuklijst (SBOM) die automatisch wordt gegenereerd na elke software-update
Het zijn allemaal geen voordelen, aangezien deze implementatie complexiteit met zich meebrengt om de software-interface van Foundries.io en de tool die bekend staat als X8 Board Manager te vereenvoudigen, hoewel ze in die zin goed werk hebben geleverd, en de nieuwe interface eenvoudig en compatibel met Arduino-IDE voor ontwikkelaars.
Fabio Violante, CEO van Arduino, zei:
“Als we op Linux gebaseerde edge-apparaten inzetten, mag beveiliging geen bijzaak zijn. Daarom hebben we de Arduino Portenta X8 ontworpen met de hoogste prioriteit op het gebied van veiligheidsvoorzieningen, van begin tot eind. Dit varieert van hardware en firmware tot Linux-distributie en apparaatbeheer, mogelijk gemaakt door FoundriesFactory. “Hierdoor konden we vanaf het begin op natuurlijke wijze voldoen aan de CRA-regelgeving.”