Kyberturvallisuus tele- ja verkkolaitevalmistajille
Reitittimien, kytkimien, tukiasemien ja radiolaitteiden laiteohjelmisto buildataan sulautetusta Linux-jakelusta, piirivalmistajien SDK:ista ja sadoista avoimen lähdekoodin paketeista. Viranomaiset ja operaattorit kysyvät nyt, mitä kukin julkaisu sisältää. CRACI ajaa laiteohjelmistobuildisi ja tallentaa jokaisen komponentin, joka niihin menee.
Kolme sääntelykokonaisuutta, yksi kysymys
Reitittimiin, kytkimiin, tukiasemiin ja radiolaitteisiin sovelletaan nyt EU:n radiolaitelainsäädäntöä, joulukuusta 2027 alkaen EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) tärkeitä tuotteita koskevia sääntöjä, ja lisäksi teleoperaattoreiden on NIS2:n nojalla tarkastettava toimittajansa. Kaikki kolme palautuvat samaan kysymykseen: mitä kukin laiteohjelmistojulkaisu sisältää?
- Radiolaitedirektiivin kyberturvallisuusvaatimuksia aletaan soveltaa internetiin yhdistettäviin radiolaitteisiin.
- Kyberkestävyyssäädöksen velvoitetta raportoida aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista aletaan soveltaa.
- Kyberkestävyyssäädöstä sovelletaan kokonaisuudessaan, ja radiolaitteiden kyberturvallisuussäännöt kumotaan.
Radiolaitedirektiivi: delegoitu asetus (EU) 2022/30
Delegoidulla asetuksella otetaan käyttöön radiolaitedirektiivin 3 artiklan 3 kohdan d, e ja f alakohdan olennaiset vaatimukset: ei haittaa verkolle, henkilötietojen ja yksityisyyden suoja sekä suoja petoksia vastaan. Se kattaa internetiin yhdistettävät radiolaitteet ja eräitä muita luokkia, kuten lastenhoitolaitteet, lelut ja puettavat laitteet. Sitä on sovellettu 1.8.2025 alkaen, vuotta alun perin suunniteltua myöhemmin. Wi-Fi-reitittimet ja tukiasemat ovat tyypillisiä internetiin yhdistettäviä radiolaitteita; pelkästään langallinen kytkin ei ole radiolaite. Varmista oman tuotteesi luokitus.
EN 18031-1, -2 ja -3
EN 18031-1, -2 ja -3:2024 ovat d-, e- ja f-alakohtien yhdenmukaistetut standardit. Niiden viitetiedot julkaistiin Euroopan unionin virallisessa lehdessä tammikuussa 2025 rajoituksin:
- "Rationale"- ja "guidance"-osiot eivät anna vaatimustenmukaisuusolettamaa.
- Olettamaa ei synny, jos tuote antaa käyttäjän valita, ettei salasanaa aseteta tai käytetä (kohdat 6.2.5.1 ja 6.2.5.2).
- EN 18031-2:n osalta olettamaa ei synny lastenhoitolaitteille ja leluille, joista puuttuu vanhemman tai huoltajan pääsynhallinta.
- EN 18031-3:n osalta kohdan 6.3.2.4 turvallisen päivityksen arviointikriteerit eivät anna olettamaa.
Käytännössä tuote, joka käyttää jotakin näistä vaihtoehdoista, tarvitsee kyseisen vaatimuksen osalta kolmannen osapuolen arvioinnin.
Siirtymä kyberkestävyyssäädökseen
Delegoitu asetus (EU) 2026/339 kumoaa asetuksen 2022/30 11.12.2027 alkaen, jolloin CRA:ta aletaan soveltaa kokonaisuudessaan, koska CRA:n olennaiset vaatimukset sisältävät kaiken, mitä radiolaitedirektiivin 3 artiklan 3 kohdan d, e ja f alakohdassa on. Radiolaitedirektiivin mukainen markkinavalvonta jatkuu radiolaitteille, jotka on saatettu markkinoille 1.8.2025–10.12.2027. CRA edellyttää, että EN 18031 -työ otetaan huomioon, kun sen omia standardeja laaditaan; EN 18031 ei itsessään muutu CRA:n standardiksi. Siksi 10.12.2027 asti markkinoille saatettavia radiolaitteita arvioidaan delegoidun asetuksen perusteella; 11.12.2027 alkaen sovelletaan CRA:ta.
Verkkolaitteiden CRA-luokat
CRA:n liitteessä III luetellaan tärkeät tuotteet. Luokkaan I kuuluvat reitittimet, internetyhteyteen tarkoitetut modeemit ja kytkimet; verkonhallintajärjestelmät; VPN-tuotteet; fyysiset ja virtuaaliset verkkoliitännät; sekä käyttöjärjestelmät. Luokkaan II kuuluvat palomuurit sekä tunkeutumisen havaitsemis- ja estojärjestelmät. Liitteessä IV, kriittisissä tuotteissa, ei mainita reitittimiä eikä kytkimiä.
Luokan I tuotteen vaatimustenmukaisuuden voi arvioida itse vain, jos yhdenmukaistettuja standardeja, yhteisiä eritelmiä tai varmuustason "korotettu" (substantial) eurooppalaista kyberturvallisuussertifiointijärjestelmää sovelletaan kokonaisuudessaan; muutoin mukana on ilmoitettu laitos (EU-tyyppitarkastus ja tyypinmukaisuus tai täydellinen laadunvarmistus). Luokan II tuotteet tarvitsevat aina jonkin näistä menettelyistä tai sertifiointijärjestelmän. Kunnes näiden luokkien CRA:n yhdenmukaistetut standardit on julkaistu, luokan I valmistajien kannattaa varautua kolmannen osapuolen arviointiin.
CRA:n mukainen raportointi
11.9.2026 alkaen valmistajat ovat raportoineet aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista: ennakkovaroitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti 14 päivän kuluessa siitä, kun haavoittuvuuteen on saatavilla korjaus, tai vakavan poikkeaman osalta kuukauden kuluessa ilmoituksesta.
NIS2, asiakkaitasi varten
NIS2-direktiivi, direktiivi (EU) 2022/2555, koskee yleisten sähköisten viestintäverkkojen ja -palvelujen tarjoajia niiden koosta riippumatta. Sen 21 artikla edellyttää, että ne hallitsevat toimitusketjun turvallisuutta ja haavoittuvuuksien käsittelyä ja ottavat huomioon kunkin suoran toimittajan haavoittuvuudet, sen tuotteiden yleisen laadun ja sen turvallisen kehityksen käytännöt. Siksi operaattorit lähettävät laitevalmistajille tietoturvakyselyitä ja SBOM-pyyntöjä. NIS2-velvoitteet kuuluvat operaattorille, eivät laitevalmistajalle.
| Tuote | Delegoitu asetus 2022/30 10.12.2027 asti | CRA-luokka 11.12.2027 alkaen | Mitä asiakkaat tyypillisesti kysyvät |
|---|---|---|---|
| Wi-Fi-reititin | Kyllä: internetiin yhdistettävä radiolaite | Tärkeä, luokka I (reitittimet) | SBOM jokaisesta laiteohjelmistojulkaisusta; "koskeeko tämä meitä?" jokaisesta CVE:stä |
| Yrityskytkin, vain langallinen | Ei: ei radiolaite | Tärkeä, luokka I (kytkimet) | SBOM:t, operaattoreiden tietoturvakyselyt |
| Palomuurilaite | Tarkista: vain jos siinä on radio | Tärkeä, luokka II (palomuurit) | Haavoittuvuuksien käsittelyprosessi, SBOM:t, päivityskäytäntö |
| Verkonhallintaohjelmisto | Ei: ei radiolaite | Tärkeä, luokka I (verkonhallintajärjestelmät) | SBOM:t, näyttö turvallisesta kehityksestä |
| Radioliityntäyksikkö | Tarkista: riippuu tuotteesta | Tarkista: riippuu sen toiminnoista | SBOM:t, haavoittuvuuksien käsittely, toimittajakyselyt |
| CPE-modeemi | Kyllä, jos siinä on Wi-Fi | Tärkeä, luokka I (internetyhteyden modeemit) | SBOM jokaisesta laiteohjelmistojulkaisusta, päivitysten tukiaika |
Tämä on yleistä tietoa, ei oikeudellista neuvontaa. Tarkista oman tuotteesi luokitus.
Miksi verkkolaitteiden sisältöä on vaikea pitää hallussa
Laiteohjelmisto on enimmäkseen muiden koodia. Sulautettu Linux-jakelu, SoC-valmistajan SDK ja ytimen paikkaukset, verkkopino, satoja avoimen lähdekoodin paketteja ja uudemmilla alustoilla Rust- ja Go-palveluja. Jokainen niistä tuo omat riippuvuutensa.
Yksi koodikanta, monta alustaa, monta julkaisua. Sama laiteohjelmisto buildataan monelle laitealustalle, ja kentällä on yhtä aikaa monta julkaisua. Jokainen julkaisu on eri komponenttijoukko.
Valmiin kuvan skannaus arvailee. Laiteohjelmistokuvan skannaus päättelee sen sisällön ja ohittaa sen, mitä on käännetty sisään. Yocton oma SBOM on perusteellinen reseptien osalta, mutta vertailemassamme buildissa se ei antanut Rust-crateille package URL -tunnistetta, joten niitä ei voitu verrata tietoturvatiedotteisiin. Lue lisää Yocto-buildeista CRACI:lla. Katso myös, miksi SBOM-skannerit eivät näe kaikkea Yocto-buildien sisältöä.
Asiakkaiden kyselyt kasvavat jokaisen paljon huomiota saavan CVE:n myötä. Tuoteturvallisuustiimien mukaan jokainen kysely alkaa sanoilla "koskeeko tämä meitä?", ja jokainen vaatii vastauksen tuote- ja versiokohtaisesti.
Havainnollistava "koskeeko tämä meitä?" -tapaus
Yleisessä pakkauskirjastossa julkaistaan haavoittuvuus (kuvitteellinen esimerkki). Kaksi tuoteturvallisuustiimiä saa saman kysymyksen operaattoriasiakkailtaan.
| Vaihe | SBOM jokaisesta buildista ja buildihistoria | Valmiiden kuvien skannaukset |
|---|---|---|
| Löydä komponentti | Hae tallennetuista SBOM:eista kirjastoa ja sen versioita | Skannaa kentällä yhä olevat kuvat uudelleen, jos ne löytyvät |
| Löydä julkaisut | Buildihistoria luettelee buildit, jotka sisälsivät sen suorana tai transitiivisena | Täsmäytä skannaustulokset julkaisutiedotteisiin käsin |
| Löydä ajanjakso | Ensimmäinen ja viimeinen haavoittuvaa versiota sisältänyt buildi antavat altistusikkunan | Arvioi se kuvien buildausajankohdista |
| Vastaa asiakkaalle | Luettelo tuotteista ja versioista, joita asia koskee, ja niistä, joita se ei koske | Paras arvaus varauksin |
Näin valmistaudut vaihe vaiheelta
Tuotteen tietoturvaominaisuudet, kuten salasanojen käsittely ja turvallinen päivitys, ovat osa laitetta. Alla olevat vaiheet koskevat sitä, mitä sen laiteohjelmistoon menee.
- Luokittele jokainen tuote. Päätä kunkin tuotteen osalta, onko se delegoidun asetuksen mukainen radiolaite joulukuuhun 2027 asti ja mitä CRA-luokkaa siihen sovelletaan sen jälkeen. Luokka ratkaisee vaatimustenmukaisuuden arviointimenettelyn.
- Tuota SBOM jokaisesta julkaisubuildista. Tallenna ydin, SDK, haetut lähteet ja jokainen paketti kustakin laiteohjelmistobuildista, ei vain kuvaan asennettavia paketteja. Jos haluat yhden SBOM-käytännön kaikille tiimeille ja putkille, katso SBOM-generointi kehitystiimien laajuisesti.
- Pidä kirjaa siitä, mitkä julkaisut toimittivat mitäkin ja milloin. Jokainen julkaisu, sen komponentit ja sen toimituspäivä. Tämän kirjauksen ansiosta "koskeeko tämä meitä?" on pelkkä haku.
- Lisää toimittajien ja piirivalmistajien SBOM:t. Piirivalmistajien SDK:t ja lisensoidut pinot ovat osa laiteohjelmistoasi. Pyydä niiden SBOM:t ja valvo niitä omiesi rinnalla.
- Valvo jatkuvasti ja kirjaa päätökset, joiden mukaan haavoittuvuus ei koske tuotetta. Tarkista jokainen julkaisu uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja kirjaa VEX:llä, miksi haavoittuva komponentti ei vaikuta tuotteeseen.
- Ota käyttöön CRA:n mukainen raportointiprosessi. Aktiivisesti hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien raportointia on sovellettu 11.9.2026 alkaen. Päätä, kuka luokittelee ja priorisoi (triage), kuka päättää raportoinnista ja kuka vastaa asiakkaille; katso, miten PSIRT toimii.
- Lukitse buildi. Buildaa eristetyssä ympäristössä oletuksena estävällä egress-käytännöllä ja estä tunnetusti huonot versiot, jotta ne eivät palaa päivityksen mukana.
Mihin CRACI sopii
CRACI ajaa GitHub Actions -laiteohjelmistobuildisi omilla runnereillaan ja tallentaa, mitä kuhunkin julkaisuun menee, joten vastaus viranomaiselle tai operaattorille tulee buildista.
Laiteohjelmistobuildit, jotka tallentavat sisältönsä
Aja Yocto- ja muut sulautetun Linuxin buildisi CRACI:n GitHub Actions -runnereilla, enintään 32 vCPU:lla, x86-64- tai natiivilla ARM64-arkkitehtuurilla. Buildin ajon aikana CRACI tallentaa jokaisen paketin ja tiedoston, jonka se hakee, mukaan lukien isäntäpaketit, Git-lähteet, GitHub Actions -toiminnot ja lataukset, joita mikään resepti tai lukitustiedosto ei luettele. core-image-sato-buildissa CRACI:n SBOM sisälsi jokaisen Yocton oman SBOM:n komponentin sekä 88 komponenttia, jotka siltä jäivät huomaamatta, ja package URL -tunnisteen jokaiselle 653 Rust-craten versiolle. Lue lisää Yocto-buildeista CRACI:lla.
Vastaa kysymykseen "koskeeko tämä meitä?" tallenteen perusteella
CRACI arvioi valvottuja SBOM:eja jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan. Buildihistoria näyttää tilauksesi säilytysajan puitteissa, mitkä buildit sisälsivät haavoittuvan riippuvuuden, ja siten ajanjakson, jona haavoittuvuus koski sinua. Jokaisen paketin kohdalla näkyvät paketit, jotka tarvitsevat sitä, ja inventaarionäkymä näyttää, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa.
Toimittajien koodi omasi rinnalla
Lisää SBOM:t piirivalmistajiltasi ja muilta toimittajilta, niin ostettuja komponentteja valvotaan buildaamasi laiteohjelmiston rinnalla. Kun seuraava SDK-haavoittuvuus ilmaantuu, toimittajan koodi on samassa tallenteessa kuin omasi.
Triage, VEX ja käytäntöportit
Tietoturvatiimit luokittelevat ja priorisoivat jokaisen löydöksen ja ohjaavat sen korjauksesta vastaavalle tiimille. CRACI tukee VEX:iä sen kirjaamiseen, miten haavoittuvuus vaikuttaa tuotteeseesi, ja käytäntöportti voi pitää tietyn CVE:n poissa kaikista myöhemmistä buildeista.
Buildi, joka pääsee vain sinne, minne sen tarvitsee
Jokainen jobi ajetaan omassa eristetyssä virtuaalikoneessaan egress-käytännön alaisena. Käytännön voit asettaa oletuksena estäväksi, se validoidaan ennen jobin käynnistymistä ja se noudattaa fail closed -periaatetta. Oletuksena estävällä käytännöllä yhteys osoitteeseen, jota buildi ei tarvitse, estetään ja siitä hälytetään.
Milloin CRACI ei ole oikea ratkaisu
CRACI sopii buildaamallesi laiteohjelmistolle ja ohjelmistolle. Se ei sovi näihin tapauksiin:
- Ei teleoperaattoreille, jotka suojaavat omia verkkojaan tai täyttävät NIS2:n vaatimuksia omassa toiminnassaan. CRACI on laitteiden ja ohjelmistojen valmistajille, ja operaattoreita se auttaa vain antamalla niiden toimittajille parempaa näyttöä.
- Ei laiteohjelmistolle, joka buildataan GitHub Actionsin ulkopuolella, Windowsissa tai macOS:ssä tai buildifarmeilla, joiden on pysyttävä omissa tiloissasi. GitLab CI ja Jenkins, Windows- ja macOS-runnerit sekä asiakkaan ylläpitämät runnerit ovat tiekartalla.
- Ei kuville, joita et itse buildannut. CRACI ei skannaa binäärejä eikä kolmansien osapuolten laiteohjelmistoja; niihin tarvitset toimittajan SBOM:n tai binäärianalyysityökalun (katso CRACI vs. ONEKEY ja sulautettujen järjestelmien tietoturvatyökalut vertailussa).
- Ei täysimittainen PSIRT-tapaustenhallinta- tai tiedotteiden julkaisujärjestelmä. CRACI ei ota vastaan ulkoisia haavoittuvuusilmoituksia tapauksina eikä julkaise tietoturvatiedotteita, eikä se tee reachability-analyysia. Katso PSIRT-työkalut vertailussa.
- Ei vaatimustenmukaisuuden arviointia, EN 18031 -testausta eikä tuotteen tietoturvaominaisuuksia, kuten salasanojen käsittelyä, turvallista päivitystä ja pääsynhallintaa. CRACI ei allekirjoita laiteohjelmistoja.
Verkkolaitteiden tietoturva selitettynä
Usein kysyttyä radiolaitedirektiivistä, EN 18031:stä, CRA:sta ja NIS2:sta laitevalmistajille
Mitkä verkkolaitteet ovat CRA:n mukaisia tärkeitä tuotteita, ja missä luokassa?
Liitteen III luokkaan I kuuluvat reitittimet, internetyhteyteen tarkoitetut modeemit ja kytkimet, verkonhallintajärjestelmät, VPN-tuotteet, fyysiset ja virtuaaliset verkkoliitännät sekä käyttöjärjestelmät. Luokkaan II kuuluvat palomuurit sekä tunkeutumisen havaitsemis- ja estojärjestelmät. Reitittimet ja kytkimet eivät ole liitteen IV mukaisia kriittisiä tuotteita.
Milloin radiolaitedirektiivin kyberturvallisuusvaatimuksia alettiin soveltaa, ja mihin radiolaitteisiin?
1.8.2025. Delegoitu asetus (EU) 2022/30 ottaa radiolaitedirektiivin 3 artiklan 3 kohdan d, e ja f alakohdan käyttöön internetiin yhdistettävissä radiolaitteissa ja eräissä muissa luokissa, kuten lastenhoitolaitteissa, leluissa ja puettavissa laitteissa. Päivämäärää siirrettiin 1.8.2024:stä myöhemmällä delegoidulla asetuksella.
Antavatko EN 18031-1, -2 ja -3 vaatimustenmukaisuusolettaman?
Kyllä, rajoituksin. Niiden rationale- ja guidance-osiot eivät anna olettamaa; olettamaa ei ole, jos käyttäjä voi valita, ettei salasanaa aseteta tai käytetä; EN 18031-2:n osalta sitä ei ole lastenhoitolaitteille ja leluille ilman vanhemman tai huoltajan pääsynhallintaa; ja EN 18031-3:n osalta kohdan 6.3.2.4 turvallisen päivityksen kriteerit eivät anna sitä. Näissä tapauksissa tarvitaan kolmannen osapuolen arviointi.
Mitä radiolaitedirektiivin delegoidulle säädökselle ja EN 18031:lle tapahtuu, kun CRA:ta aletaan soveltaa?
Delegoitu asetus (EU) 2026/339 kumoaa asetuksen 2022/30 11.12.2027 alkaen, jolloin CRA:ta sovelletaan kokonaisuudessaan. Radiolaitteet, jotka on saatettu markkinoille 10.12.2027 asti, pysyvät radiolaitedirektiivin mukaisen markkinavalvonnan piirissä. EN 18031 on otettava huomioon CRA:n omissa standardeissa, mutta se ei itsessään muutu CRA:n standardiksi.
Miten NIS2 vaikuttaa teleoperaattoreiden toimittajiin?
Välillisesti. NIS2 asettaa velvoitteet operaattoreille, joiden on hallittava toimitusketjun turvallisuutta ja otettava huomioon kunkin suoran toimittajan haavoittuvuudet, tuotteiden laatu ja turvallisen kehityksen käytännöt. Ne siirtävät tämän eteenpäin tietoturvakyselyinä, SBOM-pyyntöinä ja sopimusehtoina. Laitevalmistajan omat lakisääteiset velvoitteet tulevat radiolaitedirektiivistä ja CRA:sta.
Voiko reitittimien tai kytkimien valmistaja arvioida vaatimustenmukaisuuden itse CRA:n mukaan?
Vain, jos se soveltaa kokonaisuudessaan yhdenmukaistettuja standardeja, yhteisiä eritelmiä tai varmuustason korotettu (substantial) eurooppalaista kyberturvallisuussertifiointijärjestelmää, koska reitittimet ja kytkimet ovat luokan I tärkeitä tuotteita. Muutoin mukana on ilmoitettu laitos. Kunnes näiden tuotteiden CRA:n yhdenmukaistetut standardit on julkaistu, varaudu kolmannen osapuolen arviointiin.
Toimiiko CRACI Yocton kanssa?
Kyllä. Yocto- ja BitBake-buildit ajetaan CRACI-runnereilla, ja CRACI tallentaa jobin SBOM:n buildin ajon aikana. Yocton oma SPDX-tuloste sisältää edelleen reseptien metatietoja, joita CRACI ei tallenna, kuten sovelletut paikkaukset ja CVE:t, jotka resepti merkitsee korjatuiksi, joten pidä create-spdx päällä, jos tarvitset niitä.
Mitä CI-järjestelmiä ja buildikoneita CRACI tukee?
CRACI ajaa GitHub Actions -jobeja Linux-runnereilla, x86-64- ja ARM64-arkkitehtuurilla, 1–32 vCPU:lla. Muut CI-järjestelmät, kuten GitLab CI ja Jenkins, ovat tiekartalla, kuten myös Windows- ja macOS-runnerit.
Katso, mitä laiteohjelmistoosi menee
Varaa demo, niin näytämme jokaisen komponentin, jonka laiteohjelmistobuildisi hakevat, ja mihin julkaisuihin uusi CVE vaikuttaa
Varaa demo