EN18031删除机制在4G无线路由器中的应用

EN18031删除机制 (DLM)概述

删除机制 (DLM) 是确保无线电设备上存储的个人数据和敏感安全参数能够被用户删除的关键安全功能，以防止在设备处置或更换时数据泄露的风险。

删除机制（DLM）是EN 18031-2:2024欧洲标准中定义的一项关键安全要求，旨在提高无线电设备对网络和隐私资产的保护能力。它适用于互联网连接的无线电设备和处理个人数据、流量数据或位置数据的无线电设备，同时涵盖网络设备。因此，4G无线路由器作为一种互联网连接的无线电设备和网络设备，其删除机制应遵循DLM的要求。

▶ 删除机制 (DLM) 在 4G 无线路由器中的应用

1. 删除机制 (DLM) 的适用性

要求：设备必须提供一种删除机制，允许用户删除其在设备上存储的个人数据和敏感安全参数。

原理：引入此要求是为了防止在设备被处置或更换时，个人数据面临泄露的风险。如果存储的安全资产或隐私资产的完整性未得到适当保护，攻击者可能篡改这些资产，从而可能导致侵犯个人权利，例如个人信息滥用、虚假归因等。

指导：

• 用户角色：通常，用户可以删除自己的个人数据。如果存在多个用户，拥有管理员权限的用户可以删除所有用户的数据。授权用户可以删除其有权访问的个人数据。
• 机制特性：删除机制应具备以下特点：
• 抗中断性：具备弹性，能够在中断后恢复并完成删除操作。
• 防篡改性：能抵抗篡改，例如未经授权的删除尝试或阻止授权删除的尝试。
• 防止意外触发：保护用户免于意外删除。
• 特殊授权情况：在某些情况下，可能需要授权实体（例如，拥有监督责任的实体或设备所有者）来启动或批准删除操作，特别是在数据对操作至关重要（例如工业环境）的情况下。

2. DLM 在4G无线路由器产品中的应用

4G 无线路由器属于 EN 18031-2 范围内的“处理个人数据、流量数据或位置数据的无线电设备”类别，特别是“连接互联网的无线电设备”。因此，它必须符合 DLM 的要求。
在 4G 无线路由器产品中，DLM 的应用体现在以下几个方面：

① 需要删除的数据类型：

个人数据：这包括用户在路由器中设置的任何信息，例如：

• 管理账户的用户名和密码。
• Wi-Fi 网络名称 (SSID) 和密码。
• 连接设备的名称、MAC 地址和 IP 地址列表。
• 可能存在的上网历史记录（如果路由器有日志功能或家长控制功能）。
• VPN 配置信息、端口转发规则等。
• 设备自身的地理位置数据（如果路由器支持此类功能并收集）。

敏感安全参数：

• 路由器的管理员密码。
• 用于设备安全通信（如固件更新、远程管理、VPN 连接）的加密密钥或证书。
• 设备内部用于保护数据完整性和机密性的安全密钥。

② 删除机制的实现方式：

• 恢复出厂设置 ：对于4G 无线路由器，最常见的 DLM 实现方式是提供一个“恢复出厂设置”功能。这个功能应确保所有用户存储的个人数据和敏感安全参数被安全、永久地清除，使其不可恢复。
• 安全擦除：在执行恢复出厂设置时，路由器应使用安全擦除技术，例如，通过删除加密密钥并生成新密钥的方式，确保旧数据无法被恢复。简单的格式化或删除文件可能不足以达到“永久不可恢复”的标准。
• 用户友好性：删除机制应易于用户操作，例如通过一个物理按钮（通常需要长按）或通过管理界面的清晰选项来触发。同时，应有明确的提示和确认步骤，以防止用户意外删除数据。
• 抗中断性与防篡改性：在删除过程中，路由器应设计为即使电源中断也能在恢复后继续完成删除，并防止恶意软件或未经授权的用户篡改删除过程。

③ 文档和合规性：

• 制造商需要提供详细的文档，说明4G 无线路由器存储了哪些个人数据和敏感安全参数。
• 文档还需详细描述删除机制的工作方式，包括其弹性、防篡改能力以及如何操作。
• 制造商必须能够通过评估来证明其产品在概念上和功能上都满足DLM 的要求，即数据能够被有效且安全地删除。

总而言之，DLM 在 4G 无线路由器中的应用旨在确保用户对其个人数据拥有控制权，即在不再需要设备时，可以安心地清除所有敏感信息，从而保障用户隐私和网络安全。

3. 删除机制 (DLM) 与其他安全机制的相互作用

在4G无线路由器产品中，删除机制 (DLM) 与多种其他安全机制相互作用，以确保个人数据和敏感安全参数能够被安全且不可恢复地删除，从而防止数据泄露风险。

① 安全存储机制(SSM)

• 核心关联：DLM 的主要目的是删除设备上持久存储的个人数据和敏感安全参数。这直接与 SSM 的职责相关，SSM 负责保护这些资产的持久存储。
• 删除的有效性：DLM 指南明确指出，“删除”意味着使个人信息“永久不可恢复”，这需要将设备重置为出厂设置，并安全擦除加密密钥并生成新密钥。这要求SSM 能够以支持这种安全擦除的方式存储数据，并且在需要删除时，能与加密密钥（CCK）协同工作。

② 加密密钥机制(CCK)

• 密钥管理：如上所述，DLM 的有效执行涉及安全擦除加密密钥并生成新密钥以确保数据不可恢复。CCK 机制（如 CCK-1 和 CCK-2）负责确保这些密钥的生成遵循最佳实践密码学标准，并具有足够的安全强度。如果加密密钥本身没有被安全管理和删除，即使数据看起来被“删除”了，攻击者仍可能通过旧密钥恢复数据。

③ 访问控制机制(ACM)

• 权限管理：DLM 指南强调，通常情况下用户可以删除自己的数据，而拥有管理员权限的用户可以删除所有用户的数据。ACM（如 ACM-1 和 ACM-2）正是用来管理实体对安全资产和隐私资产的访问权限。ACM 确保只有授权实体才能访问受保护的资产，因此也确保只有授权用户才能触发删除机制或更改其设置。
• 防止意外触发：DLM 机制应“防止意外触发”。ACM 在此起到关键作用，它能通过限制谁可以访问删除功能以及如何访问来防止未经授权的或意外的删除操作。

④ 认证机制(AUM)

• 身份验证：在授权用户能够通过ACM 触发 DLM 之前，他们必须首先通过 AUM 进行身份验证。AUM（如 AUM-1 和 AUM-2）旨在验证实体的身份。这确保了只有经过验证的合法用户才能访问删除功能。例如，AUM-2-2 甚至对处理特殊类别个人信息的设备要求双因素认证，这为删除敏感数据提供了更高的安全保障。

⑤ 日志记录机制(LGM)

• 审计追踪：LGM-1 明确要求设备应记录与隐私资产及其保护相关的内部活动（事件）。删除个人数据和敏感安全参数是高度相关的隐私保护事件，因此DLM 的操作应被 LGM 记录。日志可以提供信息来帮助识别异常行为或数据泄露，包括“重要数据文件的删除”。
• 冲突处理：日志记录机制(LGM) 要求记录“与隐私资产及其保护相关的内部活动（事件）”，因此应记录删除机制（DLM）的活动，而删除机制 (DLM) 应将日志删除或使其不可恢复。惠志科技有限公司的4G无线路由器产品，通过一种优雅的方式来处理两者之间的冲突。

⑥ 用户通知机制(UNM)

• 用户透明度：UNM-1 要求设备在发生影响个人信息保护或隐私的更改时通知用户。虽然删除操作本身通常由用户发起，但如果删除机制的策略、功能发生变化，或者需要确认删除操作的完成状态，UNM 需要发挥作用，以确保用户了解这些关键信息。

⑦ 通用设备能力(GEC)

• 安全基础设施：GEC 包含多项通用能力，这些能力为 DLM 的可靠运行提供了基础。例如：
  GEC-1 (最新软件和硬件)：确保 DLM 的软件和硬件实现没有已知的可利用漏洞，从而防止攻击者利用这些漏洞绕过或破坏删除机制。
  GEC-6 (输入验证)：确保DLM 接收到的所有输入都经过验证，以防止注入攻击或其他恶意输入导致非预期行为或漏洞。

综上所述，DLM 并非孤立运行，它与路由器的存储、密钥管理、访问控制、认证、日志记录和通用安全功能紧密结合。这些机制共同作用，以确保 4G 无线路由器上的个人数据和敏感安全参数能够在其生命周期结束或不再需要时，得到安全、有效且可审计的删除。