Arm宣布與Brightsight、中國信息通信研究院泰爾終端實驗室、Riscure和UL等獨立安全測試實驗室，以及咨詢機構Prove＆Run聯合推出PSA認證項目（PSA Certified），以支持基于平臺安全架構（PSA）框架的安全物聯網解決方案的大規模部署。時隔五個月，Arm在北京舉辦Arm PSA安全架構技術研討會，邀請來自測試實驗室、已通過認證的芯片、模塊、解決方案、云服務等主要合作伙伴，共同展示PSA從威脅模型和安全分析、硬件和固件的架構規范設計、實施安全系統到PSA安全測試與認證的流程與成效。

物聯網發展障礙：缺乏安全標準

據Arm 新興事業部總監Rob Coombs介紹，目前有全球有80億的物聯網設備，隨著物聯網產業的蓬勃發展， 3年之后，物聯網設備預計會達到240億。在未來6年內，在芯片、軟件以及產品設備領域，物聯網都將迎來一個非常大的商機。Arm認為隨著物聯網、5G還有AI技術的快速發展，全球第五波計算時代將迎來很大的機遇，Arm的愿景是在2035年實現1萬億個物聯網設備。

萬億級聯網設備帶來的是海量信息數據，這些數據可以為企業和個人帶來真正的價值，并幫助我們做一些關鍵決策。為了實現物聯網的這種大規模部署，需要保證設備是可信的，以及生成的數據是可信的。通過確保每個設備都具有可靠的基本安全功能和相應的安全級別以滿足市場需求，使安全性得到保障，從而實現信任。

許多調查和報告指出，對物聯網缺乏信任是阻礙物聯網被廣泛采用的主要原因之一。隨著安全的多樣化，在設計物聯網產品、設備或服務時往往很難甚至不可能滿足不同的IoT場景的安全需求。缺乏安全標準導致物聯網行業的碎片化，使得選擇適當的安全解決方案成為一個復雜而耗時的過程。

設備安全才能保障數據安全

為引領整個生態系統建立一整套基本準則，用以應對物聯網安全問題時降低開發成本、時間與風險，Arm于2017年推出了平臺安全架構PSA(Platform Security Architecture)，并與生態系統伙伴共同合作，希望為萬物互聯奠定可信基礎。2019年2月，Arm又與多個獨立安全測試實驗室以及咨詢機構聯合推出PSA認證項目，以支持基于平臺安全架構（PSA）框架的安全物聯網解決方案的大規模部署。

PSA認證提供了多個安全級別的認證，設備制造商可以根據產品的安全需求選擇對應的芯片和軟件。為了證明安全設備的安全性，PSA認證的設備包含達到PSA認證安全級別相關聯的認證聲明。服務提供商可以根據認證標識對連接的設備以及該設備產生的數據做出風險控制決策。

PSA與PSA認證

平臺安全架構PSA是一個由威脅模型、安全分析、以及硬件和固件架構規范組成的整體，為芯片廠商、設備開發商、云和網絡基礎設施提供商以及軟件供應商提供一套通用的基本規則和更經濟的方法來構建更安全的設備。PSA的目的是實現成本可控、已于實施、低風險的物聯網安全基礎。PSA可分為四個關鍵階段：分析、架構、實施和認證。

平臺安全架構的四個階段

第一個階段是分析，系統廠商基于自己產品的使用方式和使用場景，根據潛在的攻擊風險，梳理具體的設備安全需求，利用現有的威脅模塊來做修改，做出符合自己產品的使用方式；

第二個階段是架構，Arm為做固件和芯片設計的廠商提供了開放的硬件及固件的設計規格，包含設計安全設備所必需的安全需求。

第三階段是實施，Arm提供了運行在安全區域的開源參考固件代碼，芯片廠商將這個源代碼移植到自己的平臺上。

最后一個階段就是PSA認證，它提供了一種簡單、全面的安全測試方法。該認證由兩部分組成：多級安全穩健性方案和專為開發人員設計的API測試套件。安全測試由第三方實驗室評估，獨立檢查物聯網平臺的通用部分，包括PSA信任根、實時操作系統和設備本身。

由于我們很難知道產品或設備的魯棒性有多強，它可以抵御哪些程度的攻擊，或這些安全測試有多徹底，這使得很難決定采用哪種產品或設備。許多互聯網產品沒有獨立的評估，這可能導致對互聯設備及其數據的不可信。這正是PSA認證所要解決的挑戰：對物聯網設備進行有效的安全測試，克服阻礙物聯網增長的巨大障礙。PSA認證為使用PSA架構和PSA信任跟（PSA-RoT）的芯片、軟件和設備提供評估方案。它將有助于解決產業鏈的碎片化，并簡化芯片供應商、操作系統、中間件開發者、OEM和系統集成商的市場化流程。

PSA認證項目可幫助設備制造商分析應用場景面臨的威脅，它提供了基于安全實驗室評估的三個安全級別。所有這些級別都審查了安全實施的不同方面，認證級別有助于建立對依賴其數據的設備和服務的信任。這使得設備制造商和客戶都清楚地了解產品的安全功能，并幫助他們選擇正確的產品。

PSA安全認證級別

PSA認證的下一步計劃

Arm非常注意控制合作伙伴需要額外付出的成本。PSA認證一級的測試基本上只需要一天的時間，這是一個非常輕量級的過程，廠商可以以非常低的成本在一天之內拿到第一級認證，再加上開源的固件可以馬上使用，這就降低了開發以及添加安全固件的成本。

目前PSA認證主要是針對芯片商，因為他們的出貨量很大，所以比較有能力去支付安全功能帶來的必要成本支出。這對產業鏈下游的方案商、設備商來說，要承擔的成本會相對比較少。

同時，Arm在各個不同的地域市場，都會選擇與當地實驗室合作。例如在中國選擇泰爾實驗室來推行PSA在中國的本地化，其他的合作實驗室則覆蓋了歐洲、美國等最大的市場。對于中國市場，Rob很欣喜地表示：“中國整個產業鏈對安全的接受度以及愿意嘗試的意愿非常強，很多品牌廠商、方案解決商有意愿來參與PSA的認證，所以我們開始想怎么樣可以讓更多的生態體系內的品牌廠商、OEM、方案商可以加入這個項目，讓物聯網的安全更加地普及。目前，我們有一個本地化的團隊負責跟中國生態鏈中的上下游廠商合作探討安全問題，推動PSA項目的引入和發展。”

Rob介紹到：“PSA開發的出發點是滿足最基礎層的安全需求，所以我們希望能夠涵蓋80%的物聯網的應用，不同的物聯網可以擁有共通的安全的要求。在涵蓋80%的基本的安全要求之后，我們會跟一些垂直行業的相關的認證組織溝通合作，比如工業或者是醫療應用領域，看如何讓他們參考PSA的認證，這也是我們目前在做的事情。”

同時，Rob還特別強調，PSA是一項獨立的測試和認證計劃，是完全開放的，它與CPU架構無關，并不限定待認證產品一定采用Arm的處理器架構。未來，Arm也將會向更標準化的方向發展，將會由專業的認證經理人來處理這些認證申請。Arm還計劃與全球化標準組織合作，讓整個PSA變成一個標準化的平臺，以更獨立、更開放的方式來運作。