2019年2月， Arm宣布與Brightsight,、中國信息通信研究院泰爾終端實(shí)驗(yàn)室,、Riscure和UL等獨(dú)立安全測(cè)試實(shí)驗(yàn)室,，以及咨詢機(jī)構(gòu)Prove＆Run聯(lián)合推出PSA認(rèn)證項(xiàng)目（PSA Certified）,，以支持基于平臺(tái)安全架構(gòu)（PSA）框架的安全物聯(lián)網(wǎng)解決方案的大規(guī)模部署,。時(shí)隔五個(gè)月,，Arm在北京舉辦Arm PSA安全架構(gòu)技術(shù)研討會(huì),，邀請(qǐng)來自測(cè)試實(shí)驗(yàn)室、已通過認(rèn)證的芯片,、模塊,、解決方案、云服務(wù)等主要合作伙伴,，共同展示PSA從威脅模型和安全分析,、硬件和固件的架構(gòu)規(guī)范設(shè)計(jì)、實(shí)施安全系統(tǒng)到PSA安全測(cè)試與認(rèn)證的流程與成效,。

Arm 新興事業(yè)部總監(jiān)Rob Coombs

　　物聯(lián)網(wǎng)發(fā)展障礙：缺乏安全標(biāo)準(zhǔn)

　　據(jù)Arm 新興事業(yè)部總監(jiān)Rob Coombs介紹,，目前有全球有80億的物聯(lián)網(wǎng)設(shè)備，隨著物聯(lián)網(wǎng)產(chǎn)業(yè)的蓬勃發(fā)展,， 3年之后,，物聯(lián)網(wǎng)設(shè)備預(yù)計(jì)會(huì)達(dá)到240億。在未來6年內(nèi),，在芯片,、軟件以及產(chǎn)品設(shè)備領(lǐng)域，物聯(lián)網(wǎng)都將迎來一個(gè)非常大的商機(jī),。Arm認(rèn)為隨著物聯(lián)網(wǎng),、5G還有AI技術(shù)的快速發(fā)展，全球第五波計(jì)算時(shí)代將迎來很大的機(jī)遇,，Arm的愿景是在2035年實(shí)現(xiàn)1萬億個(gè)物聯(lián)網(wǎng)設(shè)備,。

　　萬億級(jí)聯(lián)網(wǎng)設(shè)備帶來的是海量信息數(shù)據(jù),，這些數(shù)據(jù)可以為企業(yè)和個(gè)人帶來真正的價(jià)值,，并幫助我們做一些關(guān)鍵決策。為了實(shí)現(xiàn)物聯(lián)網(wǎng)的這種大規(guī)模部署,，需要保證設(shè)備是可信的,，以及生成的數(shù)據(jù)是可信的。通過確保每個(gè)設(shè)備都具有可靠的基本安全功能和相應(yīng)的安全級(jí)別以滿足市場(chǎng)需求,，使安全性得到保障,，從而實(shí)現(xiàn)信任。

　　許多調(diào)查和報(bào)告指出,，對(duì)物聯(lián)網(wǎng)缺乏信任是阻礙物聯(lián)網(wǎng)被廣泛采用的主要原因之一,。隨著安全的多樣化,，在設(shè)計(jì)物聯(lián)網(wǎng)產(chǎn)品、設(shè)備或服務(wù)時(shí)往往很難甚至不可能滿足不同的IoT場(chǎng)景的安全需求,。缺乏安全標(biāo)準(zhǔn)導(dǎo)致物聯(lián)網(wǎng)行業(yè)的碎片化,，使得選擇適當(dāng)?shù)陌踩鉀Q方案成為一個(gè)復(fù)雜而耗時(shí)的過程。

　　設(shè)備安全才能保障數(shù)據(jù)安全

　　為引領(lǐng)整個(gè)生態(tài)系統(tǒng)建立一整套基本準(zhǔn)則,，用以應(yīng)對(duì)物聯(lián)網(wǎng)安全問題時(shí)降低開發(fā)成本,、時(shí)間與風(fēng)險(xiǎn)，Arm于2017年推出了平臺(tái)安全架構(gòu)PSA(Platform Security Architecture),，并與生態(tài)系統(tǒng)伙伴共同合作,，希望為萬物互聯(lián)奠定可信基礎(chǔ)。2019年2月,，Arm又與多個(gè)獨(dú)立安全測(cè)試實(shí)驗(yàn)室以及咨詢機(jī)構(gòu)聯(lián)合推出PSA認(rèn)證項(xiàng)目,，以支持基于平臺(tái)安全架構(gòu)（PSA）框架的安全物聯(lián)網(wǎng)解決方案的大規(guī)模部署。

　　PSA認(rèn)證提供了多個(gè)安全級(jí)別的認(rèn)證,，設(shè)備制造商可以根據(jù)產(chǎn)品的安全需求選擇對(duì)應(yīng)的芯片和軟件,。為了證明安全設(shè)備的安全性，PSA認(rèn)證的設(shè)備包含達(dá)到PSA認(rèn)證安全級(jí)別相關(guān)聯(lián)的認(rèn)證聲明,。服務(wù)提供商可以根據(jù)認(rèn)證標(biāo)識(shí)對(duì)連接的設(shè)備以及該設(shè)備產(chǎn)生的數(shù)據(jù)做出風(fēng)險(xiǎn)控制決策,。

　　PSA與PSA認(rèn)證

　　平臺(tái)安全架構(gòu)PSA是一個(gè)由威脅模型、安全分析,、以及硬件和固件架構(gòu)規(guī)范組成的整體,，為芯片廠商、設(shè)備開發(fā)商,、云和網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供商以及軟件供應(yīng)商提供一套通用的基本規(guī)則和更經(jīng)濟(jì)的方法來構(gòu)建更安全的設(shè)備,。PSA的目的是實(shí)現(xiàn)成本可控、已于實(shí)施,、低風(fēng)險(xiǎn)的物聯(lián)網(wǎng)安全基礎(chǔ),。PSA可分為四個(gè)關(guān)鍵階段：分析、架構(gòu),、實(shí)施和認(rèn)證,。

　　平臺(tái)安全架構(gòu)的四個(gè)階段

　　第一個(gè)階段是分析，系統(tǒng)廠商基于自己產(chǎn)品的使用方式和使用場(chǎng)景,，根據(jù)潛在的攻擊風(fēng)險(xiǎn),，梳理具體的設(shè)備安全需求，利用現(xiàn)有的威脅模塊來做修改,，做出符合自己產(chǎn)品的使用方式,；

　　第二個(gè)階段是架構(gòu)，Arm為做固件和芯片設(shè)計(jì)的廠商提供了開放的硬件及固件的設(shè)計(jì)規(guī)格,，包含設(shè)計(jì)安全設(shè)備所必需的安全需求,。

　　第三階段是實(shí)施,，Arm提供了運(yùn)行在安全區(qū)域的開源參考固件代碼，芯片廠商將這個(gè)源代碼移植到自己的平臺(tái)上,。

　　最后一個(gè)階段就是PSA認(rèn)證,，它提供了一種簡(jiǎn)單、全面的安全測(cè)試方法,。該認(rèn)證由兩部分組成：多級(jí)安全穩(wěn)健性方案和專為開發(fā)人員設(shè)計(jì)的API測(cè)試套件,。安全測(cè)試由第三方實(shí)驗(yàn)室評(píng)估，獨(dú)立檢查物聯(lián)網(wǎng)平臺(tái)的通用部分,，包括PSA信任根,、實(shí)時(shí)操作系統(tǒng)和設(shè)備本身。

　　由于我們很難知道產(chǎn)品或設(shè)備的魯棒性有多強(qiáng),，它可以抵御哪些程度的攻擊,，或這些安全測(cè)試有多徹底，這使得很難決定采用哪種產(chǎn)品或設(shè)備,。許多互聯(lián)網(wǎng)產(chǎn)品沒有獨(dú)立的評(píng)估,，這可能導(dǎo)致對(duì)互聯(lián)設(shè)備及其數(shù)據(jù)的不可信。這正是PSA認(rèn)證所要解決的挑戰(zhàn)：對(duì)物聯(lián)網(wǎng)設(shè)備進(jìn)行有效的安全測(cè)試,，克服阻礙物聯(lián)網(wǎng)增長(zhǎng)的巨大障礙,。PSA認(rèn)證為使用PSA架構(gòu)和PSA信任跟（PSA-RoT）的芯片、軟件和設(shè)備提供評(píng)估方案,。它將有助于解決產(chǎn)業(yè)鏈的碎片化,，并簡(jiǎn)化芯片供應(yīng)商、操作系統(tǒng),、中間件開發(fā)者,、OEM和系統(tǒng)集成商的市場(chǎng)化流程。

　　PSA認(rèn)證項(xiàng)目可幫助設(shè)備制造商分析應(yīng)用場(chǎng)景面臨的威脅,，它提供了基于安全實(shí)驗(yàn)室評(píng)估的三個(gè)安全級(jí)別,。所有這些級(jí)別都審查了安全實(shí)施的不同方面，認(rèn)證級(jí)別有助于建立對(duì)依賴其數(shù)據(jù)的設(shè)備和服務(wù)的信任,。這使得設(shè)備制造商和客戶都清楚地了解產(chǎn)品的安全功能,，并幫助他們選擇正確的產(chǎn)品。

　　PSA安全認(rèn)證級(jí)別

　　PSA認(rèn)證的下一步計(jì)劃

　　Arm非常注意控制合作伙伴需要額外付出的成本,。PSA認(rèn)證一級(jí)的測(cè)試基本上只需要一天的時(shí)間,，這是一個(gè)非常輕量級(jí)的過程,，廠商可以以非常低的成本在一天之內(nèi)拿到第一級(jí)認(rèn)證,，再加上開源的固件可以馬上使用，這就降低了開發(fā)以及添加安全固件的成本,。

　　目前PSA認(rèn)證主要是針對(duì)芯片商,，因?yàn)樗麄兊某鲐浟亢艽?，所以比較有能力去支付安全功能帶來的必要成本支出。這對(duì)產(chǎn)業(yè)鏈下游的方案商,、設(shè)備商來說,，要承擔(dān)的成本會(huì)相對(duì)比較少。

　　同時(shí),，Arm在各個(gè)不同的地域市場(chǎng),，都會(huì)選擇與當(dāng)?shù)貙?shí)驗(yàn)室合作。例如在中國選擇泰爾實(shí)驗(yàn)室來推行PSA在中國的本地化,，其他的合作實(shí)驗(yàn)室則覆蓋了歐洲,、美國等最大的市場(chǎng)。對(duì)于中國市場(chǎng),，Rob很欣喜地表示：“中國整個(gè)產(chǎn)業(yè)鏈對(duì)安全的接受度以及愿意嘗試的意愿非常強(qiáng),，很多品牌廠商、方案解決商有意愿來參與PSA的認(rèn)證,，所以我們開始想怎么樣可以讓更多的生態(tài)體系內(nèi)的品牌廠商,、OEM、方案商可以加入這個(gè)項(xiàng)目,，讓物聯(lián)網(wǎng)的安全更加地普及,。目前，我們有一個(gè)本地化的團(tuán)隊(duì)負(fù)責(zé)跟中國生態(tài)鏈中的上下游廠商合作探討安全問題,，推動(dòng)PSA項(xiàng)目的引入和發(fā)展,。”

　　Rob介紹到：“PSA開發(fā)的出發(fā)點(diǎn)是滿足最基礎(chǔ)層的安全需求,，所以我們希望能夠涵蓋80%的物聯(lián)網(wǎng)的應(yīng)用,，不同的物聯(lián)網(wǎng)可以擁有共通的安全的要求。在涵蓋80%的基本的安全要求之后,，我們會(huì)跟一些垂直行業(yè)的相關(guān)的認(rèn)證組織溝通合作,，比如工業(yè)或者是醫(yī)療應(yīng)用領(lǐng)域，看如何讓他們參考PSA的認(rèn)證,，這也是我們目前在做的事情,。”

　　同時(shí),，Rob還特別強(qiáng)調(diào),，PSA是一項(xiàng)獨(dú)立的測(cè)試和認(rèn)證計(jì)劃，是完全開放的,，它與CPU架構(gòu)無關(guān),，并不限定待認(rèn)證產(chǎn)品一定采用Arm的處理器架構(gòu)。未來，Arm也將會(huì)向更標(biāo)準(zhǔn)化的方向發(fā)展,，將會(huì)由專業(yè)的認(rèn)證經(jīng)理人來處理這些認(rèn)證申請(qǐng),。Arm還計(jì)劃與全球化標(biāo)準(zhǔn)組織合作，讓整個(gè)PSA變成一個(gè)標(biāo)準(zhǔn)化的平臺(tái),，以更獨(dú)立,、更開放的方式來運(yùn)作。