Sicherheitstests für vernetzte Produkte, von der Platine bis zur Cloud
Wir testen Ihre Geräte und Produkte als ein System: Hardware, Firmware, die gekoppelte App, das Backend, an das sie berichten, und den Weg, auf dem sie aktualisiert werden. In einem Umfang, den Sie schriftlich freigeben, und mit Befunden, mit denen Ihre Entwicklung arbeiten kann.
Überblick
Warum ein vernetztes Produkt einen eigenen Test braucht
Ein vernetztes Produkt besteht selten aus nur einem Teil. Es ist ein Gerät mit Firmware, eine Mobil- oder Desktop-App, ein Cloud-Dienst, eine API und ein Update-Kanal, oft von verschiedenen Teams und Zulieferern gebaut. Schwachstellen liegen häufig dort, wo diese Teile aufeinandertreffen. Deshalb testen wir sie gemeinsam und folgen dem Vertrauen zwischen ihnen.
Wir testen nur Produkte, die Sie herstellen oder testen lassen dürfen, an Geräten und in Umgebungen, die Sie bereitstellen oder freigeben. Das Projekt umfasst die Bereiche, die Sie wählen, und neben den praktischen Tests können wir Dokumentation, Design und Quellcode prüfen, um ein vollständigeres Bild zu erhalten.
Die Arbeit lässt sich an anerkannten Leitfäden ausrichten, zum Beispiel ETSI EN 303 645 für Verbraucher-IoT oder den IoT-Leitfäden von OWASP, und sie liefert Nachweise für die Vorbereitung auf die Cyberresilienz-Verordnung der EU. Black Fox ist keine benannte Stelle und zertifiziert keine Produkte. Wir testen, berichten und helfen Ihnen, das Gefundene zu beheben.
Für wen es gedacht ist
Hersteller vernetzter Geräte und Produkte, vom Smart Home und von Wearables für Verbraucher bis zu Geräten für Industrie, Gebäudetechnik und medizinnahe Anwendungen, und die Teams, die deren Firmware, Apps und Cloud-Dienste entwickeln. Besonders hilfreich für Hersteller, die Produkte auf die Cyberresilienz-Verordnung der EU vorbereiten oder Sicherheitsfragen von Handel, Integratoren und Geschäftskunden beantworten müssen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Gerät und Hardware
Das physische Gerät und seine zugänglichen Schnittstellen, unter anderem Debug- und Serviceanschlüsse, Speicher und Tasten, und was jemand mit dem Gerät in der Hand erfahren oder verändern könnte.
Firmware
Eine Prüfung des Firmware-Images und seines Verhaltens im Betrieb, unter anderem gespeicherte Geheimnisse, veraltete Komponenten, Standardeinstellungen, lokale Dienste und wie das Gerät seinen eigenen Code schützt.
Begleit-App
Die Mobil- oder Desktop-App, die das Gerät einrichtet und steuert: Kopplung, Authentifizierung, auf Telefon oder Rechner gespeicherte Daten und was sie vom Gerät und von der Cloud ungeprüft übernimmt.
Cloud-Backend und APIs
Die Dienste, mit denen Gerät und App sprechen, einschließlich Geräteidentität, Konten und Zugriffskontrolle, Mandantentrennung und der APIs für Gerät, App und Dritte.
Update-Prozess
Wie Updates erstellt, signiert, verteilt und installiert werden, ob das Gerät nur zulässige Updates annimmt, und wie es sich bei Rollback und Wiederherstellung verhält.
Kommunikation und Kopplung
Wie die Teile des Produkts über das Netz und lokale Funkverbindungen miteinander sprechen und ob dieser Verkehr so geschützt und authentifiziert ist, wie das Design es vorsieht.
So läuft der Auftrag ab
Kickoff und Scoping
Wir legen Produkt, Versionen, betroffene Komponenten und Ausschlüsse fest. Eine Vertraulichkeitsvereinbarung kann schon vor dem ersten Termin unterzeichnet werden.
Angebot und Freigabe
Ein Angebot, danach die schriftliche Freigabe durch eine dazu berechtigte Person und Rules of Engagement: Testgeräte, Umgebungen, Ansprechpartner und der Umgang mit kritischen Funden.
Produktaufnahme
Aus Ihrer Dokumentation und den gelieferten Geräten erfassen wir Komponenten, Schnittstellen, Datenflüsse und Vertrauensbeziehungen und stimmen die Schwerpunkte ab.
Testdurchführung
Praktische Tests von Gerät, Firmware, App, Backend und Update-Prozess im vereinbarten Rahmen. Was nicht bis zum Bericht warten kann, melden wir sofort.
Übergabe der Ergebnisse
Ein Management-Bericht und ein technischer Bericht mit Proofs of Concept und Hinweisen zur Behebung, gemeinsam besprochen mit Entwicklung und Produktverantwortlichen.
Nachtest
Sobald die Korrekturen in einem neuen Build oder Release sind, testen wir die berichteten Befunde erneut und halten fest, welche geschlossen sind.
Was Sie erhalten
- Vereinbarter Umfang und Rules of Engagement
- Produktübersicht mit Komponenten, Schnittstellen und Vertrauensbeziehungen
- Management-Bericht mit Risikobewertung
- Technischer Bericht mit Proofs of Concept und Hinweisen zur Behebung je Komponente
- Zuarbeit für Cybersicherheitsrisikobewertung und technische Dokumentation
- Ergebnisse des Nachtests für die behobenen Befunde
Fragen
Testen Sie Geräte, die wir nicht hergestellt haben?
Nein. Wir testen Produkte, die Sie herstellen oder testen lassen dürfen, mit schriftlicher Freigabe. Gehört eine Komponente eines Dritten zum Umfang, klären wir vorher mit Ihnen, wie damit umgegangen wird.
Was brauchen Sie von uns?
In der Regel Testgeräte, Zugang zur App, eine Testumgebung für das Backend und die Dokumentation, die Sie teilen können. Firmware-Images, Designunterlagen und Quellcode sind optional, erlauben aber mehr Abdeckung im selben Projekt.
Macht dieser Test unser Produkt konform mit der Cyberresilienz-Verordnung?
Nein. Tests sind ein Nachweis für einzelne grundlegende Anforderungen, die Konformität beruht aber auf Risikobewertung, Konzeption, Schwachstellenbehandlung und Dokumentation zusammen. Black Fox ist keine benannte Stelle. Der Test zeigt, wo das Produkt steht und was zu beheben ist.
Können Sie vor der Markteinführung testen?
Ja, und oft ist das der beste Zeitpunkt. Ein Test an einem Vorserien-Build lässt Raum, Designentscheidungen zu ändern, die sich kaum noch ändern lassen, sobald Geräte beim Kunden sind.
Verwandte Leistungen
- Compliance und ZertifizierungCyberresilienz-VerordnungCyber Resilience Act mit Black Fox Security: Gap-Analyse gegen die grundlegenden Anforderungen, Produkttests, Umgang mit Schwachstellen und Dokumentation.
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
- Offensive SicherheitSicherheitstests für mobile AppsMobile-App-Tests von Black Fox Security: Ihre iOS- und Android-Apps und die APIs dahinter, im vereinbarten Umfang geprüft, mit klaren Berichten und Nachtest.
- Offensive SicherheitFunk- und WLAN-TestsFunk- und WLAN-Tests von Black Fox Security: WLAN, Bluetooth, Sub-GHz-Funk und Zutrittskarten, geprüft mit schriftlicher Freigabe und nach geltendem Funkrecht.
Sagen Sie uns, was Sie bauen
Beschreiben Sie das Produkt, wie es sich verbindet und wie es aktualisiert wird. Wir melden uns mit Umfang und Angebot.