Leistung · Erweiterung · hands-on
Technische Produktprüfung
Wir nehmen das Gerät in Betrieb, greifen seine Schnittstellen an und zerlegen die Firmware. Jedes Finding bekommt eine CVSS-Bewertung und einen Verweis auf die Anforderung aus CRA Anhang I, die es berührt.
Für Standardprodukte, also Produkte, die weder in CRA Anhang III noch in Anhang IV stehen. Was das heißt.
Was wir am Gerät machen.
Wir erfassen, was das Gerät nach außen anbietet: offene Ports, laufende Dienste, Funkschnittstellen, Management-Zugänge. Dazu gehört die Frage, welche davon im Auslieferungszustand aktiv sind und ob sie das sein müssen.
Voreingestellte Zugangsdaten, erzwungener Wechsel bei der Inbetriebnahme, Sperren gegen Rateangriffe, Trennung von Rollen und Rechten, Umgang mit Sitzungen. Wir prüfen auch, ob sich Zugriffskontrollen über Nebenwege umgehen lassen.
Verschlüsselung der Übertragung und der gespeicherten Daten, Konfiguration der eingesetzten Verfahren, Prüfung von Zertifikaten durch das Gerät selbst und die Frage, wo die Schlüssel liegen.
Wir extrahieren das Image, packen das Dateisystem aus und durchsuchen es: hartkodierte Zugangsdaten und Schlüssel, veraltete Komponenten mit bekannten CVE, vergessene Testwerkzeuge, aktive Entwicklerzugänge. Dazu der Update-Weg — wird ein Update vor der Installation auf Signatur geprüft?
Offene Debug-Schnittstellen auf der Platine: UART, JTAG, zugängliche Bootloader-Konsolen, auslesbarer externer Flash. Was hier offen liegt, hebelt in der Praxis oft alles darüber aus.
Was im Bericht steht.
- Jedes Finding mit Beschreibung, betroffener Komponente und CVSS-Bewertung
- Nachvollziehbare Schritte zur Reproduktion, damit Ihre Entwicklung den Befund selbst nachstellen kann
- Zuordnung jedes Findings zu der Anforderung aus CRA Anhang I, die davon berührt ist
- Remediation-Roadmap: was sofort geschlossen werden sollte, was in die nächste Release-Planung gehört
- Abschlussgespräch von rund 60 Minuten mit der Person, die geprüft hat
Festpreis je Prüfgegenstand. Das Angebot entsteht nach dem Scoping-Gespräch, wenn Umfang und Prüfgegenstand feststehen.
Was vorher geklärt sein muss.
- Schriftliche Autorisierung durch den Auftraggeber mit definiertem Prüfumfang. Ohne sie beginnen wir nicht.
- Ein Prüfexemplar des Geräts samt Zubehör, das wir auch öffnen und im Zweifel beschädigen dürfen
- Zugangsdaten und Konten, soweit für den vereinbarten Umfang erforderlich
- Eine Absprache dazu, ob und welche Cloud- oder Backend-Dienste zum Prüfumfang gehören — fremde Systeme prüfen wir nicht ohne deren Freigabe
- Eine Ansprechperson aus der Entwicklung für Rückfragen während der Prüfung
Digital Degu ist keine notifizierte Konformitätsbewertungsstelle und stellt keine CE-Konformitätsnachweise aus. Wir bieten eine technische Vorprüfung an. Sie ermittelt den Ist-Stand Ihres Produkts und macht es selbsterklärungsreif beziehungsweise prüfreif für eine notifizierte Stelle.
Wir sichern weder Konformität noch Rechtssicherheit oder Zertifizierung zu. Eine Prüfung zeigt, was im vereinbarten Umfang gefunden wurde — sie ist kein Nachweis von Fehlerfreiheit.
Prüfung anfragen.
Schreiben Sie uns, um welches Produkt es geht. Wir antworten mit einem Terminvorschlag für das Scoping-Gespräch.
mail@digitaldegu.deLieber ein Formular? Drei Felder, hier entlang.