重用與 OTS (Off-The-Shelf) 元件

三種「非新開發」元件

為什麼這些元件需特別處理？

歷史驗證的情境 ≠ 新專案的情境

新專案可能：
• 新的攻擊面（新介面、新功能）
• 新的威脅情境
• 新的衝擊（不同車型/市場）
• 新弱點（自上次評估後發現）

→ 因此不可假設「過去安全 = 現在安全」。

Reuse 元件處理流程

1. 識別重用元件
   ↓
2. 蒐集歷史證據
   ├── 既有 TARA Report
   ├── 既有 Verification/Validation 結果
   ├── 已知弱點 / 修補紀錄
   └── 既有 CS Case 片段
   ↓
3. 評估情境差異
   ├── 介面變動？
   ├── 環境變動？
   ├── 風險假設變動？
   └── 已知威脅變動？
   ↓
4. Delta TARA（差異分析）
   ↓
5. 補足驗證活動
   ↓
6. 更新 CS Case 與 WP

OTS 元件的特殊考量

識別 OTS

OTS 評估必含項目

ots_evaluation:
  component: "OpenSSL 3.0.12"
  type: "Open Source - Cryptographic library"

  cybersecurity_assessment:
    known_vulnerabilities:
      - CVE-2023-XXXX (Severity: High)
        - Status: Patched in 3.0.12
        - Applicable to our use: Yes
        - Mitigation: Already on patched version

    supply_chain:
      - source: "Official GitHub"
        verification: "GPG signature verified"
      - sbom: "Generated, stored at /sbom/"

    maintenance:
      - support_horizon: "LTS until 2026-09-07"
      - planned_action: "Migrate to 3.1.x before 2026-Q2"

    integration_risks:
      - "Side-channel attacks on RSA operations"
        mitigation: "Use HSM for all RSA private operations"

    cs_case_inclusion:
      - "Library signature + version locked in build manifest"
      - "Quarterly CVE scan"

SBOM (Software Bill of Materials)

SBOM 格式：
├── SPDX
├── CycloneDX (推薦，含安全資訊)
└── SWID

用途：

• 弱點對應（新 CVE 出來 → 查 SBOM 看是否受影響）
• 授權合規
• 供應鏈追溯

UN R155 + UN R156 強烈建議維護 SBOM。

OTS 元件的責任分配

組織責任：
├── 識別所有 OTS 元件
├── 維護 SBOM
├── 監控 CVE / 安全公告
├── 評估適用性與整合風險
└── 整合測試

不可推給 OTS 供應商：
✗ 「OpenSSL 沒問題，所以我們的產品沒問題」
✗ 「商用元件已通過 CC，所以不用評估」

Reuse 的 Delta TARA

原 TARA (Reference)
   │
   ├── Assets：與新情境比對
   │       新增資產？移除資產？屬性改變？
   │
   ├── Threat Scenarios：
   │       新威脅？舊威脅仍適用？
   │
   ├── Impact：
   │       車型/市場差異導致 SFOP 改變？
   │
   └── Attack Feasibility：
           新攻擊技術出現？防護仍有效？

→ 差異點才需深度分析

Reuse / OTS 對 CS Case 的影響

CS Case 應包含：

• 重用/OTS 元件的識別清單
• 重用根據（reused from project X, version Y）
• Delta 分析結果
• 殘留風險與接受

證照考點

Related Notes

• 03-Project-Dependent/03-Tailoring
• 03-Project-Dependent/05-Component-Out-of-Context
• 03-Project-Dependent/06-Case-and-Assessment
• 12-TARA-Methods/01-TARA-Overview
• 00-Dashboard/Exam-Traps#Trap 7

Practice

• 03-Project-Dependent/Practice-Project-Mgmt