Tekniska slutsatser
- Äkthet, behörighet, kompatibilitet och driftberedskap är separata kontroller.
- Behåll ett lokalt startbart känt läge.
- Rulla ut per maskinkohort med tydliga stoppvillkor.
En uppdatering är fyra beslut
Server, operatör, styrenhet och maskin svarar på olika frågor: äkthet, målbehörighet, kompatibilitet och säkert driftläge.[2][3][1]
- Signerad metadata binder hash, storlek, version och utgång
- Policy binder release till organisation och mål
- Styrenheten kontrollerar hårdvara, OS, runtime och schema
- Lokalt läge avgör installation
Signera metadata, inte bara binären
En naken signatur stoppar inte gammal giltig release, freeze eller mix-and-match. TUF och Uptane lägger till roller, versioner, hash och utgång.[2][3]
Behandla installation som en återställbar transaktion
Ladda till inaktiv yta, verifiera före aktivering, växla atomiskt och behåll föregående startbara release.[4][1]
| Fas | Bevis | Återhämtning |
|---|---|---|
| Ladda | Hash, storlek, plats | Ta bort del |
| Förbered | Signatur, kompatibilitet | Behåll aktiv |
| Aktivera | Atomiskt byte | Starta gammal |
| Bevisa | Lokal hälsa | Automatisk rollback |
| Bekräfta | Stabil observation | Spara audit |
En aktiv process är inte alltid en frisk maskin
Kontrollera runtime, konfiguration, I/O-adaptrar, watchdog, färskhet, resurser och maskinspecifika invariants.[1]
Avgörande kontroller förblir lokala; molnavbrott får inte kringgå interlocks eller skapa rollback-loopar.
Kohorter, observation och stoppvillkor
- Intern hårdvarutvilling
- En okritisk kundmaskin
- Observera starter och återanslutningar
- Liten varierad kohort
- Stoppa automatiskt vid gräns
- Nytt godkännande för resten
Kohorter ska exponera hårdvaru- och nätverksvariation; en procentslider räcker inte.[1][5]
Behåll bevis under produktens liv
Version, hash, godkännare, kompatibilitet, aktivering, hälsa och rollback-orsak hör till maskinens historik.[5][6]
- Testa komprometterad nyckel
- Testa utgången metadata
- Bryt ström i varje fas
- Testa full disk och fel schema
- Mät rollback utan fjärråtkomst
Vanliga frågor
Räcker image-signering?
Nej. Färskhet, rollback-skydd, målbehörighet, kompatibilitet, aktivering, hälsa och lokal återhämtning behövs.
Ska aktivering ske automatiskt?
Nedladdning och verifiering ofta ja; aktivering följer godkänt fönster och lokalt läge.
Hur länge behålls föregående version?
Minst tills den nya klarat sitt lokala och fjärrbaserade observationskontrakt.
Källor och standarder
- NIST SP 800-82 Rev. 3: Guide to Operational Technology SecurityNational Institute of Standards and Technology, September 2023
- The Update Framework specificationThe Update Framework
- Uptane Standard for Design and Implementation 1.1.0Uptane
- IoT Security Verification Standard: Software Platform RequirementsOWASP Foundation
- NIST SP 800-218: Secure Software Development FrameworkNational Institute of Standards and Technology, February 2022
- Regulation (EU) 2024/2847: Cyber Resilience ActEUR-Lex
BootCtrl Engineering granskade senast de tekniska påståendena och källänkarna den 26 juli 2026. Produktpåståenden kontrolleras mot aktuella implementationsrepon; arbete på färdplanen presenteras inte som lanserad funktionalitet.
