硬體安全的進階主題與趨勢
在物聯網設備的安全認證架構PSA Certified與SESIP中所重視的「組合（composition）」想法，正確的是下列何者？
- A在已取得認證的晶片或信任根上製作產品時，重複利用其評估結果，設備製造商主要只就自己加入的部分接受評估
- B若構成設備的所有元件不是由同一家公司設計與製造，設備就完全無法取得認證
- C只要使用取得過認證的晶片，即使其上執行的應用程式有漏洞，整台設備也被視為已認證且安全
查看答案與解析
正確答案：A. 在已取得認證的晶片或信任根上製作產品時，重複利用其評估結果，設備製造商主要只就自己加入的部分接受評估
物聯網設備種類繁多，若每一種都接受共同準則這類繁重的評估，費用與時間的負擔都很大。PSA Certified（2019年開始、由Arm等推動的架構）與GlobalPlatform制定的SESIP（後來也成為歐洲標準EN 17927的評估方法）採取組合的想法：晶片、信任根、OS等各層分別接受評估，上層再以這些結果為前提疊加評估。如此一來，設備製造商可以選用已認證的元件，專注於評估自己加入的部分。不過，下層的認證並不保證上層的安全性，因此仍需評估上層，並遵守元件的使用條件。
- A. 正確。在評估上層時重複利用下層的評估結果。
- B. 這個想法正是以組合不同公司的元件為前提。
- C. 下層的認證並不保證上層軟體沒有漏洞。