Azure IoT Edge のセキュリティ標準

  • [アーティクル]

適用対象:IoT Edge 1.4 チェックマーク IoT Edge 1.4

重要

IoT Edge 1.4 がサポートされているリリースです。 以前のリリースの場合は、「IoT Edge を更新する」を参照してください。

Azure IoT Edge は、データと分析をインテリジェント エッジに移動するときに固有のリスクに対処します。 IoT Edge のセキュリティ標準では、さまざまなデプロイ シナリオにおける柔軟性と、すべての Azure サービスに期待されている保護とのバランスを取ります。

IoT Edge は、さまざまなハードウェア メーカーおよびモデルに対応しています。また、複数のオペレーティング システムをサポートしており、多様なデプロイ シナリオに適用できます。 IoT Edge は、特定のシナリオに対する具体的なソリューションを提供するものではなく、スケーリングに対応するよう設計された十分に根拠がある原則に基づく、拡張可能なセキュリティ フレームワークです。 デプロイ シナリオのリスクは、次のような多くの要因に左右されます。

  • ソリューションの所有権
  • デプロイの地理的な場所
  • データの機密性
  • プライバシー
  • 応用業種
  • 規制要件

この記事では、IoT Edge のセキュリティ フレームワークについて概説します。 詳細については、インテリジェント エッジのセキュリティ保護に関する記事をご覧ください。

標準

標準を策定すると、調査および実装を簡単に行えるようになります。また、調査および実装は、セキュリティの品質を証明するものとなります。 セキュリティ ソリューションは、信頼を構築するための調査に役立つ必要があり、デプロイの障害となってはなりません。 Azure IoT Edge を保護するフレームワークは、長年の実績がある、業界で認められたセキュリティ プロトコルに基づいて設計されているため、使いやすく、再利用も可能です。

認証

IoT ソリューションをデプロイするとき、信頼できるアクター、デバイス、およびコンポーネントのみがそのソリューションにアクセスできることを認識する必要があります。 証明書ベースの認証は、Azure IoT Edge プラットフォームの主要認証メカニズムです。 このメカニズムは、インターネット技術標準化委員会 (IETF) による公開キー基盤 (PKiX) を管理するための標準を基に作られています。

Azure IoT Edge デバイスと相互作用するすべてのデバイス、モジュール、およびアクターは、一意の証明書 ID を持っている必要があります。 このガイダンスは、相互作用が物理的なものか、ネットワーク接続を介して行われるかにかかわらず適用されます。 すべてのシナリオまたはコンポーネントで証明書ベースの認証が使用されているわけではありません。このため、セキュリティ フレームワークの拡張により、セキュリティ保護された代替手段が提供されています。

詳細については、Azure IoT Edge 証明書の使用に関するページを参照してください。

承認

最小特権の原則によると、システムのユーザーとコンポーネントは、そのロールの実行に最低限必要な一連のリソースとデータにのみアクセスする必要があります。 デバイス、モジュール、アクターは、アクセス許可スコープ内のリソースとデータにのみアクセスし、アーキテクチャ上許可されている場合にのみアクセスする必要があります。 権限の中には、十分な特権で構成できるものもあれば、アーキテクチャの制限を受けるものもあります。 たとえば、一部のモジュールに Azure IoT Hub への接続を許可できます。 ただし、あるIoT Edgeデバイスのモジュールが別のIoT Edgeデバイスのモジュールのツインにアクセスする理由はありません。

その他の承認スキームとしては、証明書署名権限やロールベースのアクセス制御 (RBAC) があります。

構成証明

構成証明により、マルウェアの検出と防止に重要なソフトウェア ビットの整合性が確保されます。 Azure IoT Edge セキュリティ フレームワークでは、構成証明書は次の 3 つのカテゴリに分類されます。

  • 静的構成証明
  • ランタイム構成証明
  • ソフトウェア構成証明

静的構成証明

静的構成証明では、電源投入時にデバイス上のすべてのソフトウェア (オペレーティング システムを含む)、すべてのランタイム、および構成情報の整合性が検証されます。 静的構成証明は電源投入時に実行されるため、多くの場合、セキュア ブートと呼ばれます。 IoT Edge デバイスのセキュリティ フレームワークには、製造元の協力を得て、静的構成証明のプロセスを確実に実行するための、セキュリティで保護されたハードウェア機能が組み込まれています。 これらのプロセスには、セキュア ブートとセキュア ファームウェア アップグレードが含まれます。 シリコン ベンダーと緊密に協力することで、余分なファームウェア レイヤーを排除でき、脅威にさらされる面を最小限に抑えられます。

ランタイム構成証明

セキュア ブート プロセスが完了すると、適切に設計されたシステムでは、マルウェアを挿入する試みが検出され、適切な対策が取られます。 マルウェア攻撃では、システムのポートやインターフェイスが標的にされる可能性があります。 悪意のあるアクターがデバイスに物理的にアクセスできる場合は、デバイス自体を不正変更したり、システムへアクセスするためにサイドチャネル攻撃を加える可能性があります。 マルウェアや未承認の構成の変更に関係なく、このような不適合は、ブート プロセスの後に挿入されるため、静的構成証明では検出できません。 デバイスのハードウェアによって提供または適用される対策は、このような脅威を防ぐことができます。 IoT Edge のセキュリティ フレームワークでは、ランタイム上の脅威に対処するために、拡張機能が明示的に呼び出されます。

ソフトウェア構成証明

インテリジェント エッジ システムを含むすべての正常なシステムには、パッチやアップグレードが必要です。 更新プロセスは、潜在的な脅威ベクターとなる危険性があるため、セキュリティが重要になります。 IoT Edge のセキュリティ フレームワークは、測定および署名されたパッケージを通じて更新を要求して、パッケージの完全性の確保とその発行元の認証を行います。 この標準は、すべてのオペレーティング システムとアプリケーション ソフトウェア ビットに適用されます。

信頼のハードウェア ルート

多くのインテリジェント エッジ デバイス、特に、潜在的な悪意のあるアクターが物理的にアクセスできるデバイスでは、ハードウェア セキュリティが最後の防護策です。 こうしたデプロイでは、ハードウェアが改ざんされにくいことがきわめて重要です。 Azure IoT Edge では、さまざまなリスク プロファイルやデプロイ シナリオに対応するために、セキュア シリコン ハードウェア ベンダーが、異なる特性を持つ信頼のハードウェア ルートを提供することが奨励されています。 ハードウェアの信頼は、トラステッド プラットフォーム モジュール (ISO/IEC 11889) やトラステッド コンピューティング グループのデバイス識別子構成エンジン (DICE) などの一般的なセキュリティ プロトコル標準から取得される場合があります。 また、ハードウェアの信頼性は、TrustZones や Software Guard Extensions (SGX) などのセキュア エンクレイヴ テクノロジーからも得られます。

認定

お客様が十分な情報に基づいて、展開する Azure IoT Edge デバイスを購入できるよう、IoT Edge フレームワークには認定の要件が含まれています。 これらの要件の基礎となるのは、セキュリティ クレームに関連する証明書と、セキュリティの実装の検証に関連する証明書です。 たとえば、セキュリティ クレーム証明書は、IoT Edge デバイスが、ブート時の攻撃に対する防護策を持つことが確認されているセキュリティ保護されたハードウェアを使用していることを意味します。 検証証明書は、デバイスでこの価値を提供するために、セキュリティで保護されたハードウェアが正しく実装されていることを意味します。 簡易性の原則に基づき、このフレームワークでは、証明書の負担を最小限に抑えることが試みられています。

保存時の暗号化

保存時の暗号化は、格納されているデータのデータ保護を提供します。 保存データに対する攻撃には、データが格納されているハードウェアへの物理的なアクセスを取得し、含まれているデータを侵害しようとする試みが含まれます。 ストレージ暗号化を使用して、デバイスに格納されているデータを保護できます。 Linux には、保存時の暗号化に関するいくつかのオプションがあります。 ニーズに最適なオプションを選択します。 Windows の場合、保存時の暗号化には Windows BitLocker が推奨されるオプションです。

機能拡張

IoT テクノロジにより、さまざまな種類のビジネス トランスフォーメーションが推し進められているため、新たなシナリオに対応するセキュリティが同時並行的に発展する必要があります。 Azure IoT Edge セキュリティ フレームワークは、以下を含むさまざまな次元の拡張性を構築する確固とした基盤を基に作られています。

  • Azure IoT Hub のための Device Provisioning Service などのファースト パーティ セキュリティ サービス。
  • さまざまな応用業種 (工業や医療など) のマネージド セキュリティ サービスなどのサードパーティ サービス、または多数のパートナー ネットワークを通したテクノロジ フォーカス (メッシュ ネットワーク内のセキュリティ監視やシリコン ハードウェア構成証明サービス)。
  • 認証や ID 管理に証明書以外のセキュリティ テクノロジーを使用するなどの代替セキュリティ戦略による改良を含むレガシ システム。
  • 新興のセキュア ハードウェア テクノロジーとシリコン パートナーとの共同作業が適用されたセキュア ハードウェア。

この結果、インテリジェント エッジをセキュリティ保護するためには、IoT をセキュリティ保護するという共通の利益を追及するオープン コミュニティからの協力が必要です。 この協力は、セキュリティ テクノロジまたはサービスの形体で行われます。 Azure IoT Edge セキュリティ フレームワークは、Azure クラウドと同じレベルの信頼性と整合性をインテリジェント エッジで提供するため、最大限の防御範囲のセキュリティを実現する強固な基盤を提供します。

次のステップ

Azure IoT Edge の詳細については、インテリジェント エッジのセキュリティ保護に関するページを参照してください。