多利益相关方处理互联网物联网安全升级和补丁

动机文件概述
本文件由开放式工作组起草，旨在提升物联网设备空中下载（OTA）更新流程的安全性。随着设备激增和物联网发展，缺乏安全措施的远程更新可能增加个人、企业和社会的风险。建立对“可更新性”的共同理解，有助于制造商、采购商等利益相关者基于风险进行决策，增强更新流程的安全性。文件提出自愿框架，帮助制造商选择合适的安全功能，附录详细说明具体安全措施和缓解方法。

受众及使用方法
本文件面向制造商、指定代理人、服务提供者等，指导其增强设备更新过程的安全性。内容不直接针对最终用户（可参考通信可升级性工作组指南），也不涉及已停产设备。文件提供通用词汇表，帮助讨论风险缓解措施，并引用NIST指南作为背景参考。更新流程安全仅是设备整体安全的一部分，需结合行业最佳实践、设备管理及网络卫生等措施。

空中更新流程的基本步骤
更新流程分为13个步骤，包括创建、标识、发送、接收、检查、发布、分发、应用、重新验证、激活、清理和回滚。每个步骤可能存在安全风险，如更新内容的真实性、完整性、保密性及设备功能中断等。文件强调更新步骤的顺序虽通用，但具体安全功能需根据制造商需求选择。

增强空中更新流程安全性的安全功能

• 标识：通过加密签名验证更新内容的真实性和完整性（如RSA 2048位、ECDSA 224位、SHA-2系列）。
• 发送：应用层加密保护更新内容在传输中的机密性（如TLS、BLE 4.2+）。
• 接收：设备验证更新来源和适用性，防止降级攻击和恶意代码注入。
• 分发：加密和完整性校验保护更新内容在内部通信中的安全。
• 重新验证：更新后验证每个目标的完整性，确保正确写入。
• 激活：启用更新代码前进行最终测试，切换到新镜像。
• 清理：清除临时数据，记录更新状态并通知相关方。

附录：回滚失败的更新
针对更新失败场景，建议多目标系统间版本协调，并使用短暂、设备专属的共享秘密（如加密密钥）。硬件加速的加密功能可降低功耗，提高性能。若更新失败，需回滚到先前版本，并通知管理员或所有者。网络通信需遵循安全实践，以防止混淆攻击或拒绝服务。