Platformdaki yenilikler
Platformda kullanıma giren özellikler, yayın tarihine göre. Liste platformun kendi özellik kaydından gelir ve her hafta güncellenir.
SBOM dışa aktarma (CycloneDX 1.6, SPDX 2.3, SPDX 3.0.1)
SBOM'u standart biçimlerde indirir; SPDX 3.0.1 çıktısı her seferinde resmî şemaya göre doğrulanır.
Çok kaynaklı zafiyet tespiti
Bileşenleri NVD, OSV, CVE Program kayıtları ve üretici bildirimleriyle (Espressif, Mbed TLS) eşleştirir; her bulgu kaynaklarına bağlanır. NVD'nin CPE eklemediği (Deferred) kayıtlar için panelde ve teknik dosyada uyarı verir.
Aktif istismar kanıtı (CISA KEV, ENISA EUVD)
Bulunan bir açık CISA KEV ya da ENISA EUVD istismar listesindeyse öne alınır ve Madde 14 adayı olarak işaretlenir; EUVD kimliği kaynak bağlantısı olarak eklenir. Karar üreticide kalır.
İç açık kayıtları (CVE'siz)
Kendi yazılımınızdaki CVE'si olmayan açıkları iç kimlikle kaydeder; VEX, bülten ve Madde 14 akışında CVE'li açıklarla aynı biçimde çalışır.
SBOM kalite raporu (BSI TR-03183-2)
SBOM alanlarının BSI TR-03183-2'ye göre ne kadar dolu olduğunu gösterir; uygunluk beyanı değildir.
İkili sertleştirme ve kripto envanteri
NX, PIE, RELRO ve yığın koruma durumunu ve imajdaki anahtar ile sertifikaların türünü ve zayıflıklarını gösterir.
Uygulanan standartlar ve EN 18031
Uygulanan standartları ve EN 18031 maddelerinin değerlendirmesini kayda geçirir ve teknik dosyaya ekler.
Lisans kısıtlı bileşenler
Lisansı tersine mühendisliği yasaklayan bileşenlerin dosyaları hiçbir ikili analize alınmaz; yalnız paket üst verisi kullanılır, açık eşleştirmesi sürer ve belgelerde gerekçe yazılır.
Kaynak tazeliği ve yedek yollar
Zafiyet kaynakları her gün güncellenir; güncellenemeyen kaynak analizde tarihiyle bildirilir, alarm üretilir ve GitHub'a ulaşılamazsa kaynağın kendi yayınına geçilir.
Yapılandırmaya göre açık filtresi (ESP-IDF)
Ürünün tam sdkconfig dosyasına göre derlenmeyen ESP-IDF kısımlarındaki açıklar için VEX taslağına 'etkilenmiyor' önerisi ekler; öneri yalnız bir seçeneğin kodu kesin olarak çıkardığı durumlarda yapılır, karar analistte kalır.
Ek I gereksinim kartları ve analist kararları
Her temel gereksinimin durumunu (karşılanıyor, eksik, manuel, uygulanmaz) kanıt kaynağıyla gösterir; kararı analist verir.
Kullanıcı bilgileri yayını (Ek II)
Ek II kullanıcı bilgilerini önizler, açık onayla herkese açık bir sayfada yayımlar; her yayın yeni bir sürümdür ve önceki sürümler saklanır.
Ek VII kanıt dosyaları
Test raporları ve tasarım belgeleri gibi kanıtları kasada değiştirilemez biçimde saklar ve teknik dosyaya bağlar.
Tedarikçi SBOM talepleri
Tedarikçilerden SBOM ister, gelen SBOM'u imajla karşılaştırır ve özen yükümlülüğünü kayda geçirir.
Ürün sayfası ve hazırlık yolu
Her ürün için CRA hazırlık yüzdesini ve sıradaki adımı gösterir; görevler ürün sayfasında sekmelere ayrılır.
Bileşen listesinden belge (firmware olmadan)
Firmware yüklemeden CSV/XLSX bileşen listesinden SBOM ve ürün düzeyinde CRA belgeleri üretir.
AB dışı üretici ve iktisadi işletmeciler
Yetkili temsilci, ithalatçı ve dağıtıcı bilgilerini kaydeder ve belgelerde doğru yere yazar.
Donanım güvenliği Ek I kanıtı
Güvenli açılış, flash şifreleme ve JTAG/hata ayıklama portu durumunu Ek I kanıtı olarak kaydeder: bağlı cihazların bildirdiğinden ya da cihaz yoksa üreticinin kanıt dosyalı beyanından.
Siber güvenlik risk değerlendirmesi
Tehdit profili ve kalan risklerle Madde 13(2)-(3) risk değerlendirmesini yönlendirmeli olarak hazırlatır ve onaylatır.
Ürün sınıfı testi
Kısa bir soru dizisiyle ürünün CRA sınıfını (varsayılan, önemli I/II, kritik) ve uygunluk değerlendirme yolunu belirler.
AB uygunluk beyanı ve basitleştirilmiş beyan
Ek V uygunluk beyanını ve Ek VI basitleştirilmiş uygunluk beyanını PDF ve Word taslağı olarak kayıtlı üretici bilgileriyle hazırlar.
Zafiyet bildirim formu ve gelen kutusu
Araştırmacılar için herkese açık bildirim formu, security.txt ve işlem adımlarını kaydeden bir gelen kutusu sunar.
Güvenlik bültenleri (CSAF)
Düzeltilen açıklar için CSAF güvenlik bülteni yayımlar; düzeltilmiş sürüm yayımlanmış bir güncelleme olmalıdır.
Bakımcı bildirimleri
Entegre bileşende bulunan açığın bileşen bakımcısına bildirildiğini kayda geçirir.
Lisans özeti
Bileşen lisanslarını sürüme bağlı olarak özetler ve bilinmeyenleri ayrıca listeler.
Destek süresi ve bitiş uyarıları
Ürünün destek süresini kayda geçirir, belgelerde gösterir ve bitişe yaklaşırken uyarır.
CLI ve GitHub Action
Analiz yükleme, sonuç kapısı ve SBOM/VEX indirmeyi derleme hattınızdan çalıştırır.
Madde 14 olay ve bildirim akışı
24 saat, 72 saat ve nihai rapor sürelerini izler, tek bildirim platformu formunu hazırlar ve Madde 14(7)'ye göre koordinatör CSIRT önerir. Her gönderim imzalı ve RFC 3161 zaman damgalı olarak arşivlenir.
Cihaz SDK'sı (ESP32)
Kayıt, telemetri, güvenli güncelleme ve anomali bildirimi için C SDK'sı; ESP32 kartında uçtan uca doğrulandı.
Üretici SBOM'u içe aktarma
Derleme sisteminizin SBOM'unu (CycloneDX 1.4-1.7, SPDX 2.2/2.3/3.0) alır, analizle karşılaştırır ve bileşenlerini zafiyetlere karşı izler.
Linux çekirdeği bulgularının gruplanması
Binlerce çekirdek bulgusunu alt sisteme göre gruplar ve çekirdek yapılandırmasına göre kod bu imajda yok önerisi verir.
İmzalı teknik dosya
Ek VII teknik dosyasını PDF ve JSON olarak üretir, imzalar ve RFC 3161 zaman damgasıyla dondurur.
Cihaz kaydı ve filo izleme
Cihazları süreli kayıt kodlarıyla kaydeder, telemetriyi ve çevrimdışı durumu izler, anomalilerde uyarır.
İmzalı OTA güncellemeleri
Güncellemeleri ECDSA P-256 ile imzalanmış bildirimle dağıtır, sürüm düşürmeyi engeller ve isteğe bağlı ikinci onay ister. ESP32 SDK'sında cihaz imzayı doğrular, A/B bölümüne yazar ve yeni imaj açılış öz-testini geçemezse önceki sürüme döner.
Firmware analizi ve SBOM
Firmware imajını (ikili, dosya sistemi, Intel HEX, S-record ve ELF; Linux ELF'leri ile ESP32 ve Arm Cortex-M MCU ELF/AXF dahil) açar, bileşenlerini bulur ve eksiklerini açıkça belirten bir yazılım malzeme listesi üretir.
EPSS ile önceliklendirme
Bulguları CVSS, FIRST EPSS istismar olasılığı ve aktif istismar kanıtıyla birlikte sıralar; her bulguda EPSS değeri görünür. Madde 14 işareti yalnız doğrulanmış istismardan gelir, EPSS'ten gelmez.
VEX kararları ve CSAF VEX / OpenVEX
Her bulgu için analist kararını gerekçesiyle kaydeder ve resmî doğrulayıcıdan geçen CSAF VEX ile OpenVEX belgeleri üretir.
Cihaz güvenlik olayları
Cihazın bildirdiği kritik olaylar (OTA imzası ya da özeti tutmayınca kurcalama, yığın bozulması ve bellek erişim ihlali) ve güvenlik sayacının bilinen değerin altına inmesi, otomatik olarak değerlendirme bekleyen bir olay kaydı açar ve uyarı gönderir; karar analistte.
Gömülü sır taraması
İmajdaki özel anahtar ve parola izlerini bulur; analist her bulguyu doğrulandı ya da yanlış alarm olarak işaretler.
Türkçe ve İngilizce arayüz ve belgeler
Panel ve tüm belgeler Türkçe ve İngilizce kullanılabilir; belge dili ürün başına seçilir.
Henüz platformda olmayan, planlanan işler platform sayfasındaki yol haritasında.