Sicherheitsstandards für Azure IoT EdgeSecurity standards for Azure IoT Edge

Azure IoT Edge wurde entwickelt, um die Risikoszenarien zu behandeln, die mit dem Verschieben Ihrer Daten und Analysen zur Intelligent Edge verbunden sind.Azure IoT Edge is designed to address the risk scenarios that are inherent when moving your data and analytics to the intelligent edge. Die IoT Edge-Sicherheitsstandards bieten Flexibilität für verschiedene Risikoprofile und Bereitstellungsszenarien, aber dabei den Schutz bieten, den Sie von allen Azure-Diensten erwarten.The IoT Edge security standards provide flexibility for different risk profiles and deployment scenarios while still offering the protection that you expect from all Azure services.

Azure IoT Edge kann auf verschiedener Hardware unterschiedlicher Hersteller und Modelle ausgeführt wurden, unterstützt verschiedene Betriebssysteme und eignet sich für verschiedene Bereitstellungsszenarien.Azure IoT Edge runs on various hardware makes and models, supports several operating systems, and applies to diverse deployment scenarios. Bei der Risikobewertung eines Bereitstellungsszenarios spielen verschiedene Faktoren eine Rolle, z.B. der Besitz der Lösung, die geografische Region für die Bereitstellung, die Vertraulichkeit der Daten, die Branche, in der die Anwendung eingesetzt wird, sowie gesetzliche Vorgaben. Assessing the risk of a deployment scenario depends on many considerations including solution ownership, deployment geography, data sensitivity, privacy, application vertical, and regulatory requirements. Anstatt konkrete Lösungen für bestimmte Szenarien anzubieten, stellt IoT Edge ein erweiterbares Sicherheitsframework dar, das auf fundierten Prinzipien fußt und Skalierbarkeit bietet.  Rather than offering concrete solutions for specific scenarios, IoT Edge is an extensible security framework based on well-grounded principles that are designed for scale.    Dieser Artikel bietet eine Übersicht über das IoT Edge-Sicherheitsframework.This article provides an overview of the IoT Edge security framework. Weitere Informationen finden Sie unter Sicherheit für Intelligent Edge. For more information, see Securing the intelligent edge.

StandardsStandards

Standards fördern eine einfache Überprüfbarkeit und Implementierung – zwei Eckpfeiler der Sicherheit.Standards promote ease of scrutiny and ease of implementation, both of which are hallmarks of security. Eine Sicherheitslösung sollte zur Überprüfbarkeit beitragen, um Vertrauen aufzubauen, und sie darf kein Hindernis bei der Bereitstellung sein. A security solution should lend itself to scrutiny under evaluation to build trust and shouldn't be a hurdle to deployment. Das Design des Frameworks für den Schutz von Azure IoT Edge basiert auf Sicherheitsprotokollen, die über lange Zeit getestet wurden und sich in der Branche bewährt haben, und bietet somit Vertrautheit und Wiederverwendbarkeit. The design of the framework to secure Azure IoT Edge is based on time-tested and industry proven security protocols for familiarity and reuse. 

AuthenticationAuthentication

Wenn Sie eine IoT-Lösung bereitstellen, muss gewährleistet sein, dass nur vertrauenswürdige Akteure, Geräte und Module Zugriff auf Ihre Lösung haben.When you deploy an IoT solution, you need to know that only trusted actors, devices, and modules have access to your solution. Dieses Wissen sorgt für Verantwortlichkeit bei den Beteiligten.Such knowledge offers secure accountability of participants. Azure IoT Edge erzielt dieses Wissen durch Authentifizierung.Azure IoT Edge attains this knowledge through authentication. Die zertifikatsbasierte Authentifizierung ist der primäre Authentifizierungsmechanismus für die Azure IoT Edge-Plattform.Certificate-based authentication is the primary mechanism for authentication for the Azure IoT Edge platform. Dieser Mechanismus wurde aus einer Reihe von Standards abgeleitet, die die Public Key Infrastructure (PKiX) der Internet Engineering Task Force (IETF) regeln.This mechanism derives from a set of standards governing Public Key Infrastructure (PKiX) by the Internet Engineering Task Force (IETF).    

Alle Geräte, Module und Akteure, die mit dem Azure IoT Edge-Gerät interagieren – physisch oder über eine Netzwerkverbindung –, müssen eindeutige Zertifikatidentitäten aufweisen.All devices, modules, and actors interacting with the Azure IoT Edge device, whether physically or through a network connection, should have unique certificate identities. Nicht jedes Szenario und jede Komponente ist jedoch für die zertifikatbasierte Authentifizierung geeignet.However, not every scenario or component may lend itself to certificate-based authentication. In diesen Szenarien bietet die Erweiterbarkeit des Sicherheitsframeworks sichere Alternativen.In those scenarios, the extensibility of the security framework offers secure alternatives. 

AutorisierungAuthorization

Das Prinzip der geringsten Rechte besagt, dass Benutzer und Komponenten eines Systems nur Zugriff auf den minimalen Satz von Ressourcen und Daten haben sollten, die zum Ausüben ihrer Rollen erforderlich sind.The principle of least privilege says that users and components of a system should have access only to the minimum set of resources and data needed to perform their roles. Geräte, Module und Akteure sollten nur auf Ressourcen und Daten in ihrem Berechtigungsbereich zugreifen – und auch nur dann, wenn die Architektur es zulässt.Devices, modules, and actors should access only the resources and data within their permission scope, and only when it is architecturally allowable. Einige Berechtigungen sind mit ausreichenden Rechten konfigurierbar, andere dagegen werden architekturbedingt erzwungen. Some permissions are configurable with sufficient privileges and others are architecturally enforced.  Beispielsweise kann ein Modul per Berechtigungskonfiguration autorisiert werden, eine Verbindung mit Azure IoT Hub zu initiieren.  For example, a module may be authorized through privileged configuration to initiate a connection to Azure IoT Hub. Es besteht jedoch kein Grund für ein Modul in einem Azure IoT Edge-Gerät, auf den Zwilling eines Moduls in einem anderen Azure IoT Edge-Gerät zuzugreifen.However, there is no reason why a module in one Azure IoT Edge device should access the twin of a module in another Azure IoT Edge device.

Weitere Autorisierungskonzepte umfassen Rechte zum Signieren von Zertifikaten und die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC).Other authorization schemes include certificate signing rights and role-based access control (RBAC). 

NachweisAttestation

Ein Nachweis stellt die Integrität von Softwarebestandteilen sicher.Attestation ensures the integrity of software bits.  Er ist wichtig für die Erkennung und Verhinderung von Schadsoftware.  It is important for the detection and prevention of malware.  Das Azure IoT Edge-Sicherheitsframework klassifiziert Nachweise in drei Hauptkategorien:  The Azure IoT Edge security framework classifies attestation under three main categories:

  • Statischer NachweisStatic attestation
  • Nachweis zur LaufzeitRuntime attestation
  • SoftwarenachweisSoftware attestation

Statischer NachweisStatic attestation

Beim statischen Nachweis wird die Integrität aller Softwarebestandteile bestätigt, darunter die des Betriebssystems, aller Runtimes und der Konfigurationsinformationen beim Gerätestart.Static attestation verifies the integrity of all software on a device, including the operating system, all runtimes, and configuration information at device power-up. Er wird oft als sicherer Start bezeichnet. It is often referred to as secure boot. Das Sicherheitsframework für Azure IoT Edge-Geräte wird auch von Herstellern verwendet. Es schließt sichere Hardwarefeatures ein, die statische Nachweisprozesse sicherstellen.The security framework for Azure IoT Edge devices extends to manufacturers and incorporates secure hardware capabilities that assure static attestation processes. Zu diesen Prozessen gehören sicherer Gerätestart und sichere Firmwareupgrades. These processes include secure boot and secure firmware upgrade.  Eine enge Zusammenarbeit mit Hardwareherstellern verhindert überflüssige Firmwareschichten und minimiert damit die Angriffsfläche.  Working in close collaboration with silicon vendors eliminates superfluous firmware layers, so minimizes the threat surface. 

Nachweis zur LaufzeitRuntime attestation

Nachdem ein System einen validierten Startprozess abgeschlossen hat und betriebsbereit ist, erkennen sorgfältig entwickelte Sicherheitssysteme Versuche, Schadsoftware einzuschleusen, und leiten entsprechende Gegenmaßnahmen ein.Once a system has completed a secure boot process and is up and running, well-designed systems would detect attempts to inject malware and take proper countermeasures. Angriffe durch Schadsoftware können etwa auf die Ports und Schnittstellen des Systems abzielen, um Zugriff auf das System zu erhalten.Malware attacks may target the system's ports and interfaces to access the system. Wenn böswillige Akteure physischen Zugriff auf ein Gerät haben, können sie auf ähnliche Weise das Gerät direkt manipulieren oder über Seitenkanalangriffe Zugriff erhalten.Or, if malicious actors have physical access to a device they may tamper with the device itself or use side-channel attacks to gain access. Solche schädlichen Inhalte können die Form von Schadsoftware oder nicht autorisierten Konfigurationsänderungen annehmen. Sie werden nach dem Startvorgang eingeschleust, sodass ein statischer Nachweis sie nicht erkennen kann.Such malcontent, which can be in the form of malware or unauthorized configuration changes, can't be detected by static attestation because it is injected after the boot process. Gegenmaßnahmen, die von der Gerätehardware angeboten oder erzwungen werden, tragen zur Abwehr solcher Bedrohungen bei.Countermeasures offered or enforced by the device’s hardware help to ward off such threats. Das Sicherheitsframework für Azure IoT Edge fordert ausdrücklich Erweiterungen zur Bekämpfung von Laufzeitbedrohungen.The security framework for Azure IoT Edge explicitly calls for extensions that combat runtime threats.

SoftwarenachweisSoftware attestation

Alle fehlerfreien Systeme einschließlich intelligenter Edgesysteme müssen Patches und Upgrades akzeptieren.All healthy systems, including intelligent edge systems, must accept patches and upgrades.  Sicherheit ist wichtig für Updateprozesse, da diese sonst potenzielle Bedrohungsvektoren sein können.  Security is important for update processes otherwise they can be potential threat vectors.  Das Sicherheitsframework für Azure IoT Edge fordert, dass Updates über bewertete und signierte Pakete erfolgen, um die Integrität sicherzustellen und die Quelle der Pakete zu authentifizieren.  The security framework for Azure IoT Edge calls for updates through measured and signed packages to assure the integrity of and authenticate the source of the packages.  Dieser Standard gilt für alle Betriebssysteme und Bestandteile von Softwareanwendungen.  This standard applies to all operating systems and application software bits. 

Vertrauensanker in HardwareHardware root of trust

Bei vielen intelligenten Edgegeräten, insbesondere Geräten an Orten, an denen potenziell böswillige Akteure physischen Zugriff auf das Gerät haben, ist die Sicherheit auf Gerätehardwareebene die letzte Verteidigungslinie.For many intelligent edge devices, especially devices in places where potential malicious actors have physical access to the device, device hardware security is the last defense for protection. Manipulationssichere Hardware ist für solche Bereitstellungen ausschlaggebend. Tamper resistant hardware is crucial for such deployments. Azure IoT Edge ermuntert Anbieter von sicherer Hardware, verschiedene Arten von Hardware-Vertrauensankern für unterschiedliche Risikoprofile und Bereitstellungsszenarien anzubieten. Azure IoT Edge encourages secure silicon hardware vendors to offer different flavors of hardware root of trust to accommodate various risk profiles and deployment scenarios. Das Vertrauen in Hardware kann von allgemeinen Sicherheitsprotokollstandards wie dem Trusted Platform Module (ISO/IEC 11889) oder der Device Identifier Composition Engine (DICE) der Trusted Computing Group stammen.Hardware trust may come from common security protocol standards like Trusted Platform Module (ISO/IEC 11889) and Trusted Computing Group’s Device Identifier Composition Engine (DICE). Auch sichere Enklaventechnologien wie TrustZones und Software Guard Extensions (SGX) stellen Vertrauen in Hardware her. Secure enclave technologies like TrustZones and Software Guard Extensions (SGX) also provide hardware trust. 

ZertifizierungCertification

Damit Kunden beim Erwerb von Azure IoT Edge-Geräten fundierte Entscheidungen für ihre Bereitstellung treffen können, enthält das Azure IoT Edge-Framework Zertifizierungsanforderungen.To help customers make informed decisions when procuring Azure IoT Edge devices for their deployment, the Azure IoT Edge framework includes certification requirements.  Die Grundlage dieser Anforderungen sind Zertifizierungen in Bezug auf Sicherheitserfordernisse und Zertifizierungen in Bezug auf die Validierung der Sicherheitsimplementierung.  Foundational to these requirements are certifications pertaining to security claims and certifications pertaining to validation of the security implementation.  Eine Zertifizierung in Bezug auf Sicherheitserfordernisse informiert beispielsweise darüber, dass für das IoT Edge-Gerät sichere Hardware eingesetzt wird, die Startangriffe bekanntermaßen abwehrt.  For example, a security claim certification would inform that the IoT Edge device uses secure hardware known to resist boot attacks. Eine Validierungszertifizierung informiert darüber, dass die sichere Hardware ordnungsgemäß implementiert wurde, sodass dieses Feature im Gerät wirklich genutzt werden kann.A validation certification would inform that the secure hardware was properly implemented to offer this value in the device.  Im Einklang mit dem Prinzip der Einfachheit ist das Framework darauf ausgelegt, den Aufwand für Zertifizierungen so gering wie möglich zu halten.  In keeping with the principle of simplicity, the framework tries to keep the burden of certification minimal.   

ErweiterbarkeitExtensibility

Da die IoT-Technologie verschiedene Formen von geschäftlichen Transformationen fördert, leuchtet es ein, dass Sicherheitsmaßnahmen parallel weiterentwickelt werden sollten, um neue Szenarien abzudecken.With IoT technology driving different types of business transformations, it stands to reason that security should evolve in parallel to address emerging scenarios.  Das Azure IoT Edge-Sicherheitsframework startet mit einem soliden Fundament, auf dem die Erweiterbarkeit in verschiedene Dimensionen aufgebaut wird, damit folgende Aspekte berücksichtigt werden:  The Azure IoT Edge security framework starts with a solid foundation on which it builds in extensibility into different dimensions to include: 

  • Sicherheitsdienste des Erstanbieters, wie etwa den Device Provisioning-Dienst für Azure IoT Hub.First party security services like the Device Provisioning Service for Azure IoT Hub.
  • Drittanbieterdienste wie z.B. verwaltete Sicherheitsdienste für verschiedene Branchen (z.B. Industrie oder Gesundheitswesen) oder technologische Fokusbereiche (z.B. Sicherheitsüberwachung in Meshnetzwerken oder Hardwarenachweisdienste) über ein umfassendes Partnernetzwerk.Third-party services like managed security services for different application verticals (like industrial or healthcare) or technology focus (like security monitoring in mesh networks or silicon hardware attestation services) through a rich network of partners.
  • Ältere Systeme, die mit alternativen Sicherheitsstrategien umgerüstet werden müssen, indem z.B. eine andere Sicherheitstechnologie als Zertifikate für die Authentifizierung und Identitätsverwaltung verwendet wird.Legacy systems to include retrofitting with alternate security strategies, like using secure technology other than certificates for authentication and identity management.
  • Sichere Hardware für die Einführung neuer sicherer Hardwaretechnologien und Beiträge von Hardwarepartnern.Secure hardware for adoption of emerging secure hardware technologies and silicon partner contributions.

Schlussendlich resultiert der größte Erfolg beim Sichern des intelligenten Edge aus gemeinsamen Beiträgen einer offenen Community, die vom gemeinsamen Interesse an der Sicherheit des Internets der Dinge angetrieben wird.In the end, the highest success in securing the intelligent edge results from collaborative contributions from an open community driven by the common interest in securing IoT.  Bei diesen Beiträgen kann es sich um sichere Technologien oder sichere Dienste handeln.  These contributions might be in the form of secure technologies or services.  Das Azure IoT Edge-Sicherheitsframework bietet ein solides Fundament für die Sicherheit, das erweiterbar ist, um im intelligenten Edge das gleiche Maß an Vertrauen und Integrität bereitzustellen wie in der Azure-Cloud.  The Azure IoT Edge security framework offers a solid foundation for security that is extensible for the maximum coverage to offer the same level of trust and integrity in the intelligent edge as with Azure cloud.  

Nächste SchritteNext steps

Erfahren Sie mehr über Azure IoT Edge unter Sicherheit für Intelligent Edge.Read more about how Azure IoT Edge is Securing the intelligent edge.