Welche Beschreibung des Kompositionsansatzes, der bei PSA Certified und SESIP, Zertifizierungsrahmen für IoT-Geräte, im Vordergrund steht, ist richtig?

Antwort: A. Wird ein Produkt auf einem zertifizierten Chip oder Root of Trust aufgebaut, werden dessen Evaluierungsergebnisse wiederverwendet, und der Gerätehersteller wird vor allem für die hinzugefügten Teile evaluiert

IoT-Geräte gibt es in großer Vielfalt, und jedes einzeln einer aufwendigen Evaluierung wie nach den Common Criteria zu unterziehen, kostet viel Geld und Zeit. PSA Certified (ein 2019 gestartetes Rahmenwerk von Arm und anderen) und das von GlobalPlatform festgelegte SESIP (eine Evaluierungsmethode, die später auch zur europäischen Norm EN 17927 wurde) verfolgen einen Kompositionsansatz: Jede Schicht wie Chip, Root of Trust und Betriebssystem wird evaluiert, und höhere Schichten bauen ihre Evaluierung auf diesen Ergebnissen auf. So können Gerätehersteller zertifizierte Komponenten wählen und sich auf die Evaluierung ihrer eigenen Ergänzungen konzentrieren. Die Zertifizierung unterer Schichten garantiert jedoch nicht die Sicherheit höherer Schichten; daher müssen die höheren Schichten evaluiert und die Einsatzbedingungen der Komponenten eingehalten werden.