Estándares de seguridad para Azure IoT EdgeSecurity standards for Azure IoT Edge

Azure IoT Edge afronta los riesgos inherentes al traslado de datos y análisis a la inteligencia perimetral.Azure IoT Edge addresses the risks that are inherent when moving your data and analytics to the intelligent edge. Los estándares de seguridad de IoT Edge mantienen un equilibrio entre la flexibilidad para diferentes escenarios de implementación con la protección que se espera de todos los servicios de Azure.The IoT Edge security standards balance flexibility for different deployment scenarios with the protection that you expect from all Azure services.

IoT Edge se ejecuta en varias marcas y modelos de hardware, es compatible con varios sistemas operativos y se puede aplicar a diversos escenarios de implementación.IoT Edge runs on various makes and models of hardware, supports several operating systems, and applies to diverse deployment scenarios. En lugar de ofrecer soluciones concretas a escenarios específicos, IoT Edge constituye un marco de seguridad extensible basado en principios bien fundamentados y diseñados para la escala.Rather than offering concrete solutions for specific scenarios, IoT Edge is an extensible security framework based on well-grounded principles that are designed for scale. El riesgo de un escenario de implementación depende de muchos factores, entre los que se incluyen:The risk of a deployment scenario depends on many factors, including:

  • Propiedad de la soluciónSolution ownership
  • Geografía de implementaciónDeployment geography
  • Confidencialidad de los datosData sensitivity
  • PrivacidadPrivacy
  • Mercado vertical de aplicacionesApplication vertical
  • Requisitos reglamentariosRegulatory requirements

En este artículo se ofrece información general sobre el marco de seguridad de IoT Edge.This article provides an overview of the IoT Edge security framework. Para más información, consulte la entrada de blog Securing the intelligent edge (Protección del perímetro inteligente).For more information, see Securing the intelligent edge.

EstándaresStandards

Los estándares promueven la facilidad de examen y la de implementación, que constituyen el sello distintivo de la seguridad.Standards promote ease of scrutiny and ease of implementation, both of which are hallmarks of security. Una solución de seguridad debe prestarse al examen bajo evaluación para crear relaciones de confianza y no debe ser un obstáculo para la implementación.A security solution should lend itself to scrutiny under evaluation to build trust and shouldn't be a hurdle to deployment. El diseño del marco para proteger a Azure IoT Edge se basa en protocolos de seguridad probados en el sector y probados en el tiempo para aprovechar el conocimiento y la reutilización.The design of the framework to secure Azure IoT Edge is based on time-tested and industry proven security protocols for familiarity and reuse.

AuthenticationAuthentication

Al implementar una solución de IoT, tiene que saber que solo los actores, dispositivos y módulos de confianza tienen acceso a la solución.When you deploy an IoT solution, you need to know that only trusted actors, devices, and modules have access to your solution. El mecanismo principal de autenticación para la plataforma de Azure IoT Edge es la autenticación basada en certificados.Certificate-based authentication is the primary mechanism for authentication for the Azure IoT Edge platform. Este mecanismo procede de un conjunto de normas que rigen la infraestructura de clave pública (PKiX) de Internet Engineering Task Force (IETF).This mechanism is derived from a set of standards governing Public Key Infrastructure (PKiX) by the Internet Engineering Task Force (IETF).

Todos los dispositivos, módulos y actores que interactúan con el dispositivo de Azure IoT Edge deben tener identidades de certificado únicas.All devices, modules, and actors that interact with the Azure IoT Edge device should have unique certificate identities. Esta guía se aplica tanto si las interacciones son físicas como si se realizan mediante una conexión de red.This guidance applies whether the interactions are physical or through a network connection. No todos los escenarios o componentes pueden prestarse a una autenticación basada en certificados, por lo que la extensibilidad del marco de seguridad ofrece alternativas seguras.Not every scenario or component may lend itself to certificate-based authentication, so the extensibility of the security framework offers secure alternatives.

Para obtener más información, consulte Información de uso de los certificados de Azure IoT Edge.For more information, see Azure IoT Edge certificate usage.

AuthorizationAuthorization

El principio de privilegios mínimos afirma que los usuarios y componentes de un sistema deben tener acceso solo al conjunto mínimo de recursos y datos necesarios para realizar sus funciones.The principle of least privilege says that users and components of a system should have access only to the minimum set of resources and data needed to perform their roles. Los dispositivos, módulos y actores solo deberían acceder a los recursos y datos dentro del ámbito de su permiso y únicamente cuando sea factible desde el punto de vista de la arquitectura.Devices, modules, and actors should access only the resources and data within their permission scope, and only when it is architecturally allowable. Algunos permisos se configuran con suficientes privilegios y otros se aplican en función de su arquitectura.Some permissions are configurable with sufficient privileges and others are architecturally enforced. Por ejemplo, es posible que algunos módulos requieran autorización para conectarse a Azure IoT Hub.For example, some modules may be authorized to connect to Azure IoT Hub. Sin embargo, no hay ningún motivo por el que un módulo en un dispositivo de IoT Edge deba acceder al gemelo de un módulo en otro dispositivo de IoT Edge.However, there is no reason why a module in one IoT Edge device should access the twin of a module in another IoT Edge device.

Otros esquemas de autorización incluyen derechos de firma de certificado y control de acceso basado en rol (RBAC).Other authorization schemes include certificate signing rights and role-based access control (RBAC).

AtestaciónAttestation

La atestación garantiza la integridad de los bits de software, que es importante para detectar y evitar el malware.Attestation ensures the integrity of software bits, which is important for detecting and preventing malware. El marco de seguridad de Azure IoT Edge clasifica la atestación en tres categorías principales:The Azure IoT Edge security framework classifies attestation under three main categories:

  • Atestación estáticaStatic attestation
  • Atestación en tiempo de ejecuciónRuntime attestation
  • Atestación de softwareSoftware attestation

Atestación estáticaStatic attestation

La atestación estática comprueba la integridad de todos los componentes de software de un dispositivo en el arranque, incluido el sistema operativo, todos los entornos en tiempo de ejecución y la información de configuración.Static attestation verifies the integrity of all software on a device during power-up, including the operating system, all runtimes, and configuration information. Dado que la atestación estática se produce durante el arranque, a menudo se conoce como inicio seguro.Because static attestation occurs during power-up, it's often referred to as secure boot. El marco de seguridad para los dispositivos de IoT Edge se extiende a los fabricantes e incorpora funcionalidades seguras de hardware para garantizar procesos de atestación estática.The security framework for IoT Edge devices extends to manufacturers and incorporates secure hardware capabilities that assure static attestation processes. Estos procesos incluyen procesos de arranque seguro y de actualización de firmware.These processes include secure boot and secure firmware upgrade. Trabajar en estrecha colaboración con los proveedores de silicio elimina las capas de firmware superfluas, con lo que se minimiza la superficie expuesta a amenazas.Working in close collaboration with silicon vendors eliminates superfluous firmware layers, so minimizes the threat surface.

Atestación en tiempo de ejecuciónRuntime attestation

Cuando un sistema ha completado un proceso de arranque seguro, los sistemas bien diseñados podrían detectar intentos de insertar malware y tomar las contramedidas apropiadas.Once a system has completed a secure boot process, well-designed systems should detect attempts to inject malware and take proper countermeasures. Los ataques con malware pueden afectar a los puertos e interfaces del sistema.Malware attacks may target the system's ports and interfaces. O también, si actores malintencionados acceden físicamente a un dispositivo, pueden alterar el propio dispositivo o usar ataques de canal lateral para obtener acceso.If malicious actors have physical access to a device, they may tamper with the device itself or use side-channel attacks to gain access. Tal contenido malintencionado, ya sea malware o cambios de configuración no autorizados, no se detecta por la atestación estática porque se inserta después del proceso de arranque.Such malcontent, whether malware or unauthorized configuration changes, can't be detected by static attestation because it is injected after the boot process. Las contramedidas ofrecidas o exigidas por el hardware del dispositivo ayudan a evitar tales amenazas.Countermeasures offered or enforced by the device’s hardware help to ward off such threats. El marco de seguridad para IoT Edge pide explícitamente extensiones para combatir amenazas en tiempo de ejecución.The security framework for IoT Edge explicitly calls for extensions that combat runtime threats.

Atestación de softwareSoftware attestation

Todos los sistemas en buen estado, incluidos los sistemas de inteligencia perimetral, requieren revisiones y actualizaciones.All healthy systems, including intelligent edge systems, need patches and upgrades. La seguridad es importante para los procesos de actualización; de lo contrario, pueden ser vectores potenciales de amenazas.Security is important for update processes, otherwise they can be potential threat vectors. El marco de seguridad para IoT Edge requiere actualizaciones a través de paquetes medidos y firmados para asegurar la integridad y autenticar el origen de los paquetes.The security framework for IoT Edge calls for updates through measured and signed packages to assure the integrity of and authenticate the source of the packages. Este estándar se aplica a todos los sistemas operativos y componentes de software de la aplicación.This standard applies to all operating systems and application software bits.

Raíz de confianza del hardwareHardware root of trust

Para muchos dispositivos de inteligencia perimetral, especialmente aquellos a los que potenciales actores malintencionados podrían tener acceso físico, la seguridad del hardware del dispositivo es la última defensa de protección.For many intelligent edge devices, especially devices that can be physically accessed by potential malicious actors, hardware security is the last defense for protection. Un hardware resistente a alteraciones es fundamental en tales implementaciones.Tamper resistant hardware is crucial for such deployments. Azure IoT Edge anima a los proveedores de hardware de silicio seguros a ofrecer distintos tipos de raíz de confianza del hardware para dar cabida a varios perfiles de riesgo y escenarios de implementación.Azure IoT Edge encourages secure silicon hardware vendors to offer different flavors of hardware root of trust to accommodate various risk profiles and deployment scenarios. La confianza en el hardware puede proceder de estándares comunes de protocolos de seguridad como Módulo de plataforma segura (ISO/IEC 11889) y el motor Device Identifier Composition Engine (DICE) de Trusted Computing Group.Hardware trust may come from common security protocol standards like Trusted Platform Module (ISO/IEC 11889) and Trusted Computing Group’s Device Identifier Composition Engine (DICE). Las tecnologías de enclave seguro como TrustZones y Software Guard Extensions (SGX) también proporcionan confianza de hardware.Secure enclave technologies like TrustZones and Software Guard Extensions (SGX) also provide hardware trust.

CertificaciónCertification

Para ayudar a los clientes a tomar decisiones informadas cuando adquieren dispositivos de Azure IoT Edge para su implementación, el marco de IoT Edge incluye requisitos de certificación.To help customers make informed decisions when procuring Azure IoT Edge devices for their deployment, the IoT Edge framework includes certification requirements. La base de estos requisitos son las certificaciones relativas a las notificaciones y certificaciones de seguridad relativas a la validación de la implementación de seguridad.Foundational to these requirements are certifications pertaining to security claims and certifications pertaining to validation of the security implementation. Por ejemplo, una certificación de la notificación de seguridad implica que el dispositivo de IoT Edge utiliza hardware seguro conocido por resistir ataques de arranque.For example, a security claim certification means that the IoT Edge device uses secure hardware known to resist boot attacks. Una certificación de validación implica que el hardware seguro se ha implementado correctamente para ofrecer este valor en el dispositivo.A validation certification means that the secure hardware was properly implemented to offer this value in the device. De acuerdo con el principio de simplicidad, el marco intenta mantener la carga de certificación al mínimo.In keeping with the principle of simplicity, the framework tries to keep the burden of certification minimal.

ExtensibilidadExtensibility

Con la tecnología IoT que impulsa diferentes tipos de transformaciones de negocio, la seguridad debe evolucionar a la par que los escenarios emergentes.With IoT technology driving different types of business transformations, security should evolve in parallel to address emerging scenarios. El marco de seguridad de Azure IoT Edge comienza con una base sólida en la que se construye la extensibilidad en diferentes dimensiones para incluir:The Azure IoT Edge security framework starts with a solid foundation on which it builds in extensibility into different dimensions to include:

  • Servicios de seguridad de primera mano, como el servicio Device Provisioning para Azure IoT Hub.First party security services like the Device Provisioning Service for Azure IoT Hub.
  • Servicios de terceros, como servicios de seguridad administrados para diferentes aplicaciones verticales (como servicios industriales o sanitarios) o enfocados a la tecnología (como la supervisión de seguridad de redes de malla o servicios de atestación de hardware de silicio) a través de una rica red de asociados.Third-party services like managed security services for different application verticals (like industrial or healthcare) or technology focus (like security monitoring in mesh networks, or silicon hardware attestation services) through a rich network of partners.
  • Los sistemas heredados deben incluir la retroadaptación con estrategias de seguridad alternativas, como el uso de tecnología segura distinta de los certificados para la autenticación y administración de identidades.Legacy systems to include retrofitting with alternate security strategies, like using secure technology other than certificates for authentication and identity management.
  • Hardware seguro para la adopción sin fisuras de tecnologías de hardware seguro emergentes y contribuciones de asociados de silicio.Secure hardware for adoption of emerging secure hardware technologies and silicon partner contributions.

Al final, la protección del perímetro inteligente requiere contribuciones de colaboración de una comunidad abierta impulsada por el interés común de proteger IoT.In the end, securing the intelligent edge requires collaborative contributions from an open community driven by the common interest in securing IoT. Estas contribuciones podrían consistir en servicios o tecnologías seguros.These contributions might be in the form of secure technologies or services. El marco de seguridad de Azure IoT Edge ofrece una base sólida para la seguridad que es extensible a la máxima cobertura para ofrecer el mismo nivel de confianza e integridad en el perímetro inteligente que con la nube de Azure.The Azure IoT Edge security framework offers a solid foundation for security that is extensible for the maximum coverage to offer the same level of trust and integrity in the intelligent edge as with Azure cloud.

Pasos siguientesNext steps

Obtenga más información sobre cómo Azure IoT Edge va a proteger el perímetro inteligente.Read more about how Azure IoT Edge is Securing the intelligent edge.