確保資料中心及其組件的安全性比以往更加重要。OCP S.A.F.E. 是一項業界領先的計畫，旨在解決當今超大規模運算環境中的複雜安全性挑戰。該計畫獲得全球業界領導者的支持，旨在解決裝置供應商、終端使用者和安全性審查供應商所面臨的安全性挑戰，同時提升整個供應鏈中硬體與韌體組件的安全態勢。作為認可的實驗室，Keysight 為超大規模運算產業提供全面的一站式安全性解決方案。
- 快速偵測
- 安全性情境
- 客製化審查
- 專家諮詢
自動預防常見問題
我們開發並使用內部工具與方法來自動化漏洞掃描和模糊測試（fuzzing），在節省專案數小時時間的同時，提供重要的安全性見解。
了解您情境中的安全性
透過威脅建模等技術，我們協助您控制評估範圍，僅測試與您的產品和情境相關的內容。
量身打造的審查
我們調整研究的深度，以有效滿足專案的需求，並在開發的每個階段實現產品的最佳保護。
安全性諮詢
透過量身打造的安全性設計支援與持續的法規遵循檢查，讓您的產品做好上市準備，並降低昂貴的返工風險。
與 Keysight 合作
專注於推進您的技術，同時由 Keysight 管理 OCP S.A.F.E. 評估要求。
Caliptra™ 針對 OCP S.A.F.E. 及 CRA 準備狀況的稽核
探索 Caliptra 商標稽核如何支援 OCP S.A.F.E. 評估，同時協助因應相關的 歐盟網路韌性法案 (EU Cyber Resilience Act) 要求。本網路研討會涵蓋驗證信任根 (Root of Trust) 實作以及導航超大規模和法規安全性期望所需的準備工作。
新聞稿
SK hynix 透過 Keysight 獲得 OCP S.A.F.E. 高評級評估認證
SK hynix 在通過 Keysight 的 Scope 1 安全評估後，首次獲得 SSD 解決方案的 OCP S.A.F.E. 認可。該評估使用針對 OCP S.A.F.E. 要求的結構化評估方法，檢驗了韌體安全性和硬體互動。
精選部落格
我們的專家經常在部落格中分享實用的見解。探索超大規模安全性的最新發展。
正在載入中
Keysight 結構化的方法、高效率的響應能力以及嚴謹的技術，在我們成功完成評估的過程中發揮了關鍵作用。他們深厚的專業知識與我們開發人員的密切合作，確保了整個流程從頭到尾都能順利進行。
Woonhyug Jee
SK hynix eSSD 韌體與產品工程副總裁
常見問題
OCP S.A.F.E. (Security Appraisal Framework and Enablement) 是一項開放運算計畫 (Open Compute Project) 的方案，旨在標準化資料中心所使用硬體和韌體的獨立安全性審查。其設計旨在減少重複安全性稽核的額外負荷與冗餘，讓裝置消費者對安全性符合性充滿信心，並提升整個供應鏈中硬體和韌體的安全性態勢。
不是。S.A.F.E. 是一個審查框架，而不是及格/不及格的認證。其交付成果是一份公開報告，說明調查結果與風險。預期在每次評估中都會發現問題，這並不構成失敗；重要的是清晰度、情境和緩解態勢，以便雲端服務供應商能夠在知情的情況下採用元件。
資料中心處理裝置，例如 CPU、GPU 和 FPGA，以及周邊元件，包含網路控制器、加速器和儲存裝置 — 以及它們執行的可更新軟體、韌體或微碼。Keysight 也評估了這些平台上的韌體作業系統、受信任執行環境、作業系統和應用程式。
SRP 是指獲得 OCP 批准、可執行 S.A.F.E. 審查並提交符合性報告的第三方實驗室。Keysight 是一家具備資格的 OCP S.A.F.E. SRP，能夠提供由專家主導的韌體和硬體級安全性評估，包含程式碼品質與結構、密碼學保護、韌體更新機制以及供應鏈完整性。
- 範圍 1 — ROM、開機與韌體中的遠端攻擊面：典型的軟體漏洞類別，例如邏輯缺陷與記憶體損毀，以及時序側通道。
- 範圍 2 — 提升權限與隔離完整性：安全與非安全運算之間的邊界、控制路徑與資料路徑的分離，以及軟體觸發的硬體漏洞（例如 Spectre 級問題和 Rowhammer）。
- 範圍 3 — 對持久性機密的實際實體攻擊：PCB 級存取、外露式除錯、故障注入與側通道，專注於可行的供應鏈時間窗並限制在資料中心內的存取。
Keysight 在這三個範圍中皆具備豐富的專案經驗。
這取決於您的威脅模型以及客戶的要求。我們運用威脅建模來協助您控制評估範圍，僅針對與您的產品及其部署情境相關的部分進行測試。
以軟體為核心的發現採用 CVSS。針對以硬體為核心的發現，S.A.F.E. 採用 JIL 風格的評分方式，因為 CVSS 是為軟體建構的，無法妥善模擬設備、技術和實體步驟。
預設情況下不需要。因應措施是透過設計審查來評估，並在適當時結合 RTL 級分析與模擬；不需要對每個 SKU 進行高成本的破壞性測試。
您委託 Keysight 作為您的 SRP，雙方並就範圍達成共識。我們執行審查，然後將安全性符合性報告提交給 OCP。提交後，該裝置即被指定為 OCP S.A.F.E. 認可產品並列入 OCP 市集，OCP 會發布適當的 S.A.F.E. 標誌，您便可以開始宣傳該裝置為 OCP S.A.F.E. 產品。
通常需要原始碼與建置產出物、設計與架構文件、您的威脅模型，以及在實體測試範圍內包含除錯存取的具代表性裝置樣本。我們將在界定範圍期間確認確切的憑證清單。
您的工程團隊將收到一份詳細的技術報告，以及提交給 OCP 的簡短報告。簡短報告格式正從 JSON 轉為 CBOR，這更容易在大規模下進行驗證，且更能與現有的驗證工具相容，使 CSP 能更具預測性地進行資料吸收，並減少 SRP 之間的格式不匹配。
該計畫的目標之一是增加其韌體及相關更新會受到持續審查的裝置數量。我們會根據變更規模調整差異審查，因此增量韌體發布並不意味著必須從頭開始。將您的證明紀錄與執行期測量保持一致在此很有幫助：S.A.F.E. 正在將重點從磁碟檔案雜湊轉移到執行期測量，以便完整性檢查能在重新打包和版面配置變更後存活。
可以。Keysight 的認證讓您可以將多個方案（例如 SESIP、PSA 和 EUCC）打包在一起，跨方案共享證據，以顯著節省時間和成本，而不必孤立地執行每一項評估。
可以。我們提供安全性諮詢、設計支援和預先評估，以便在問題修復成本尚低時找出問題，進而降低付出高昂修改代價的風險。
這兩者取決於範圍、產品複雜度，以及您的文件完整性和威脅模型的成熟度。請聯絡我們以取得依專案範圍評估的報價。