ETSI EN 303 645 消费者物联网安全标准解读

概述

ETSI EN 303 645 是欧洲电信标准化协会（ETSI）发布的消费者物联网安全标准，为消费级物联网设备设定了基线安全要求。该标准是全球最广泛采用的 IoT 安全基线标准之一，已被多个国家和地区法规直接采用。

标准信息

核心安全条款（13项）

第 5 章：安全条款概览

ETSI EN 303 645 第 5 章定义了 13 项核心安全条款，按照实施优先级分为三个层级：

5.1 禁止通用默认密码

要求：每台设备应有唯一密码，或要求用户在首次使用时设置密码。

PSTI 具体要求：

• 密码必须：每台设备唯一 OR 由用户定义
• 唯一密码不能基于：
  • 递增计数器（如 password1, password2）
  • 公开信息
  • 序列号（除非使用加密或密钥哈希）
• 不包括：加密密钥、蓝牙配对 PIN、API 密钥

合规建议：

1
2
3
4
5
6
7
8

❌ 错误做法：
- 所有设备使用相同默认密码（admin/admin）
- 基于序列号的明文密码（SN12345 → password12345）

✅ 正确做法：
- 每台设备出厂分配随机唯一密码
- 首次启动强制用户设置密码
- 使用加密或密钥哈希处理序列号

5.2 漏洞披露管理

要求：制造商必须提供公开的漏洞报告渠道，并及时响应安全漏洞报告。

PSTI 具体要求：

• 必须发布至少一个联系方式用于报告安全问题
• 必须说明何时会收到：
  • 报告确认
  • 状态更新（直到解决）
• 信息必须：
  • 无需请求即可访问
  • 使用英语
  • 免费提供
  • 不要求提供个人信息

实施示例：

1
2
3
4
5
6

https://example.com/.well-known/security.txt

Contact: security@example.com
Expires: 2027-12-31T23:59:00.000Z
Preferred-Languages: en
Canonical: https://example.com/.well-known/security.txt

5.3 软件更新机制

要求：明确告知产品安全更新支持期限，并提供安全更新机制。

PSTI 具体要求：

• 必须发布定义的支持期限（defined support period）
• 如果延长支持期限，必须尽快发布新的支持期限
• 信息必须：
  • 无需请求即可访问
  • 使用英语
  • 免费提供
  • 不要求提供个人信息
  • 非技术人员也能理解
• 禁止：发布后缩短支持期限

支持期限声明示例：

1
2
3
4

产品名称：Smart Home Hub Model X
安全更新支持期限：自购买之日起 5 年
发布日期：2024年1月1日
支持截止日期：2029年1月1日

5.4 敏感安全参数安全存储

要求：设备中的敏感安全凭据必须安全存储。

敏感安全参数包括：

• 加密密钥
• 认证凭据
• 证书私钥
• API 密钥

5.5 安全通信

要求：设备通信应使用加密协议。

安全配置建议：

1
2
3
4
5
6
7
8
9
10
11
12

✅ 推荐协议：
- TLS 1.2
- TLS 1.3

❌ 禁止协议：
- SSL 2.0 / 3.0
- TLS 1.0 / 1.1

✅ 证书验证：
- 验证证书链
- 检查证书有效期
- 验证主机名

5.6 最小化攻击面

要求：关闭不必要的网络服务和接口。

攻击面最小化清单：

• 关闭 Telnet 服务
• 禁用未使用的 HTTP 端口
• 禁用调试接口（JTAG、UART）
• 移除测试/调试账户
• 禁用未使用的网络协议

5.7 软件完整性

要求：设备软件必须经过验证，防止未授权修改。

安全启动链：

1
2
3
4
5
6
7

Boot ROM (不可变)
    ↓ 验证签名
Bootloader
    ↓ 验证签名
Kernel
    ↓ 验证签名
Application

5.8 个人数据安全

要求：设备收集的个人数据必须安全处理。

GDPR 对齐：

• 数据最小化：仅收集必要数据
• 目的限制：明确告知数据用途
• 存储限制：定义数据保留期限
• 安全性：适当的安全措施

5.9 系统弹性

要求：系统应能抵抗网络攻击，并在故障时保持安全状态。

5.10 审查遥测数据

要求：遥测数据的收集和使用应透明。

5.11 数据删除

要求：用户应能删除其个人数据。

5.12 安装维护

要求：设备的安装和维护应安全。

5.13 生命周期管理

要求：明确产品生命周期和支持期限。

第 6 章：数据处理要求

ETSI EN 303 645 第 6 章规定了消费者 IoT 设备的个人数据处理要求：

与法规的关系

UK PSTI Act 2022

PSTI 采用的条款：

关键发现：PSTI 仅强制 EN 303 645 的前三项条款（密码、漏洞披露、更新透明度），其他条款为自愿采用。

EU CRA (Cyber Resilience Act)

CRA 与 EN 303 645：

• CRA 是法规（Regulation），具有法律强制力
• EN 303 645 可能成为证明 CRA 合规的协调标准
• CRA 覆盖范围更广（所有带数字元素的产品）

CRA Annex I 与 EN 303 645 对应关系：

合规路径

对于制造商

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

产品设计阶段
    │
    ├── 威胁建模
    ├── 安全架构设计
    └── 隐私影响评估
    │
    ↓
开发阶段
    │
    ├── 安全编码规范
    ├── 代码审计
    └── 静态分析
    │
    ↓
测试阶段
    │
    ├── 安全测试
    ├── 渗透测试
    └─ 合规测试
    │
    ↓
发布阶段
    │
    ├── 发布合规声明
    ├── 设置漏洞披露渠道
    └── 声明支持期限
    │
    ↓
运营阶段
    │
    ├── 持续漏洞管理
    ├── 安全更新发布
    └── 用户沟通

合规声明要求（PSTI）

声明内容

保存期限

• 制造商保存声明：10 年
• 语言：英语

适用范围

PSTI 适用产品

PSTI 豁免产品

全球采用情况

总结

ETSI EN 303 645 是全球最广泛采用的消费者 IoT 安全基线标准：

1. 核心要求：13 项安全条款覆盖密码、漏洞管理、更新、通信、数据保护等
2. 法规采用：英国 PSTI 直接采用前三项，欧盟 CRA 作为协调标准
3. 合规路径：从产品设计到运营的全生命周期安全要求
4. 全球影响：新加坡、澳大利亚等多国参考采用

对于面向欧洲市场的 IoT 制造商，EN 303 645 是必须了解和遵循的核心标准。

参考链接

• ETSI EN 303 645 官方文档
• UK PSTI Act 2022
• UK PSTI Regulations 2023
• EU Cyber Resilience Act

CRA, ETSI, IoT安全, PSTI, 网络安全 — 2026年3月23日

本文阅读量 次