Что такое Azure Sphere?
Azure Sphere — это защищенная высокоуровневая платформа приложений со встроенными функциями связи и безопасности для устройств, подключенных к Интернету. Он включает в себя защищенный, подключенный кроссоверный микроконтроллер (MCU), пользовательскую высокоуровневую операционную систему на основе Linux (ОС) и облачную службу безопасности, которая обеспечивает непрерывную и возобновляемую безопасность.
MCU Azure Sphere интегрирует возможности обработки в режиме реального времени с возможностью запуска операционной системы высокого уровня. MCU Azure Sphere, а также операционная система и платформа приложений позволяют создавать защищенные подключенные к Интернету устройства, которые можно обновлять, контролировать, отслеживать и обслуживать удаленно. Подключенное устройство, включающее MCU Azure Sphere либо рядом с существующими MCU, либо вместо существующих MCU, обеспечивает повышенную безопасность, производительность и возможности. Например:
- Безопасная среда приложения, проверенные подключения и согласие на использование периферийных устройств минимизирует риски безопасности из-за спуфинга, несанкционированного программного обеспечения или атак типа "отказ в обслуживании" и т. д.
- Обновления программного обеспечения можно автоматически развертывать из облака на любом подключенном устройстве для устранения проблем, предоставления новых функциональных возможностей или противодействия новым методам атак, что повышает производительность сотрудников службы поддержки.
- Данные об использовании продуктов можно отправлять в облако через защищенное подключение, чтобы помочь в диагностике проблем и разработке новых продуктов, что расширяет возможности для обслуживания продуктов, положительного взаимодействия с клиентами и дальнейшего развития.
Служба безопасности Azure Sphere является неотъемлемой частью Azure Sphere. С помощью этой службы MKU Azure Sphere безопасно и безопасно подключаются к облаку и Интернету. Служба гарантирует, что устройство загружается только с авторизованной версией подлинного утвержденного программного обеспечения. Кроме того, он предоставляет защищенный канал, через который корпорация Майкрософт может автоматически скачивать и устанавливать обновления ОС на развернутых устройствах в полевых условиях для устранения проблем с безопасностью. Ни производитель, ни конечный пользователь не требуют вмешательства, тем самым закрывая общий пробел в безопасности.
Примечание
Azure Sphere называет интерфейс на основе PAPI Azure Sphere (устаревшая версия), а интегрированный интерфейс azure Resource Manager общедоступной предварительной версии — Azure Sphere (интегрированный).
Во время общедоступной предварительной версии рекомендуется использовать Azure Sphere (интегрированная) только для разработки и тестирования. Как рекомендуется, рабочие варианты использования не должны использовать продукт предварительной версии. Поэтому для рабочих вариантов использования рекомендуется продолжать использовать существующий интерфейс службы безопасности Azure Sphere, который теперь называется Azure Sphere (устаревшая версия), который по-прежнему полностью поддерживается и доступен.
Сценарий Azure Sphere
Чтобы понять, как Работает Azure Sphere в реальных условиях, рассмотрите этот сценарий.
Contoso, Ltd., является производителем белых товаров, который внедряет MCU Azure Sphere в свои посудомоечные машины. Посудомоечная машина DW100 смешает MCU с несколькими датчиками и встроенным высокоуровневым приложением, которое работает в MCU Azure Sphere. Приложение взаимодействует со службой безопасности Azure Sphere и облачными службами Contoso. Этот сценарий показан на следующей схеме:
Сетевые посудомоечные машины Contoso
Начиная с левого верхнего экрана и перемещаясь по часовой стрелке:
Корпорация Майкрософт выпускает обновления для ОС Azure Sphere через службу безопасности Azure Sphere.
Корпорация Contoso выпускает обновления для своего приложения DW100 с помощью службы безопасности Azure Sphere.
Служба безопасности Azure Sphere безопасно развертывает обновленную ОС и прикладное программное обеспечение Contoso DW100 на посудомоечных машинах в расположениях конечных пользователей.
Служба поддержки contoso посудомоечной машины взаимодействует со службой безопасности Azure Sphere, чтобы определить, какая версия программного обеспечения Azure Sphere и прикладного программного обеспечения DW100 должна быть запущена на каждом устройстве конечного пользователя, а также для сбора всех данных отчетов об ошибках, которые были переданы в службу. Поддержка компании Contoso для посудомоечной машины также связывается с облачной службой Contoso для получения дополнительных сведений.
Облачные службы Contoso поддерживают приложения для устранения неполадок, анализа данных и взаимодействия с клиентами. Облачные службы Contoso могут размещаться в Microsoft Azure, в облачной службе другого поставщика или в собственном облаке Contoso.
Модели DW100 Contoso в расположениях конечных пользователей загружают обновленную ОС и прикладное программное обеспечение через подключение к службе безопасности Azure Sphere. Они также могут взаимодействовать с приложением облачной службы Contoso для передачи дополнительных данных.
Например, датчики на посудомоечной машине могут отслеживать температуру воды, температуру сушки и уровень агента ополаскивателя и передавать эти данные в облачные службы Contoso, где приложение облачной службы анализирует их на наличие потенциальных проблем. Если температура сушки кажется необычно горячей или прохладной ( что может указывать на сбой части), Contoso запускает диагностика удаленно и уведомляет клиента о необходимости ремонта. Если посудомоечная машина находится на гарантии, приложение облачной службы также может гарантировать, что местная ремонтная мастерская клиента имеет замену, что снижает количество посещений и требований к инвентаризации. Аналогичным образом, если средство для ополаскивателя низкое, то посудомоечная машина может сигнализировать клиенту о необходимости приобрести больше ополаскивателя непосредственно у производителя.
Все обмен данными осуществляется через защищенные и прошедшие проверку подлинности подключения. Специалисты службы поддержки и инженеров Contoso могут визуализировать данные с помощью службы безопасности Azure Sphere, функций Microsoft Azure или приложения облачной службы Contoso. Компания Contoso также может предоставлять клиентские веб-приложения и мобильные приложения, с помощью которых владельцы посудомоечной машины могут запрашивать услуги, отслеживать использование ресурсов для посудомоечной машины или иным образом взаимодействовать с компанией.
С помощью средств развертывания Azure Sphere компания Contoso ориентируется на каждое обновление программного обеспечения приложения на соответствующую модель, а служба безопасности Azure Sphere распространяет обновления программного обеспечения на нужные устройства. На посудомоечных машинах можно установить только подписанные и проверенные обновления программного обеспечения.
Azure Sphere и семь свойств устройств с высоким уровнем защиты
Основная цель платформы Azure Sphere — обеспечить ценную безопасность при низких затратах, чтобы чувствительные к цене устройства на основе микроконтроллеров могли безопасно и надежно подключаться к Интернету. По мере того как сетевые игрушки, приборы и другие потребительские устройства становятся обычным явлением, безопасность имеет первостепенное значение. Необходимо не только обеспечить защиту самого оборудования устройства, но и обеспечить безопасность программного обеспечения и облачных подключений. Промах в безопасности в любой точке операционной среды угрожает всему продукту и, возможно, любому или кому-либо поблизости.
Основываясь на многолетнем опыте корпорации Майкрософт в области интернет-безопасности, команда Azure Sphere определила семь свойств устройств с высоким уровнем безопасности. Платформа Azure Sphere разработана на основе следующих семи свойств:
Аппаратный корень доверия. Аппаратный корень доверия гарантирует, что устройство и его удостоверение не могут быть разделены, что предотвращает подделку или подделывание устройства. Каждый MCU Azure Sphere определяется неподготовленным криптографическим ключом, который создается и защищен оборудованием подсистемы безопасности Pluton, разработанной корпорацией Майкрософт. Это гарантирует устойчивый к незаконному изменению защищенный аппаратный корень доверия от фабрики к конечному пользователю.
Защита в глубине. Глубинная защита обеспечивает несколько уровней безопасности и, следовательно, несколько мер по устранению каждой угрозы. Каждый уровень программного обеспечения на платформе Azure Sphere проверяет, что уровень над ним защищен.
Небольшая доверяемая база вычислений. Большая часть программного обеспечения устройства остается за пределами доверенной вычислительной базы, тем самым уменьшая площадь поверхности для атак. На доверенной вычислительной базе работают только защищенный монитор безопасности, среда выполнения Pluton и подсистема Pluton, которая предоставляется корпорацией Майкрософт.
Динамические отсеки. Динамические секции ограничивают охват любой отдельной ошибки. MKU Azure Sphere содержат кремниевые контрмеры, включая аппаратные брандмауэры, чтобы предотвратить распространение нарушения безопасности в одном компоненте на другие компоненты. Ограниченная, "изолированная" среда выполнения предотвращает повреждение приложениями защищенного кода или данных.
Проверка подлинности без пароля. Использование подписанных сертификатов, проверенных неподтверждаемым криптографическим ключом, обеспечивает гораздо более надежную проверку подлинности, чем пароли. Платформа Azure Sphere требует подписи каждого программного элемента. Для обмена данными между устройствами и облаком требуется дополнительная проверка подлинности, которая достигается с помощью сертификатов.
Отчеты об ошибках. Ошибки в программном обеспечении или оборудовании устройства являются типичными при возникающих атаках на систему безопасности; ошибки, которые приводят к сбою устройства, представляют собой атаку типа "отказ в обслуживании". Обмен данными между устройствами и облаком обеспечивает раннее предупреждение о потенциальных ошибках. Устройства Azure Sphere могут автоматически сообщать об операционных данных и ошибках в облачную систему анализа, а обновления и обслуживание можно выполнять удаленно.
Возобновляемая безопасность. Программное обеспечение устройства автоматически обновляется для устранения известных уязвимостей или нарушений безопасности, не требуя вмешательства производителя продукта или конечного пользователя. Служба безопасности Azure Sphere автоматически обновляет ОС Azure Sphere и приложения.
Архитектура Azure Sphere
Совместное использование оборудования, программного обеспечения и службы безопасности Azure Sphere обеспечивает уникальные интегрированные подходы к обслуживанию, управлению и безопасности устройств.
Аппаратная архитектура предоставляет фундаментально защищенную вычислительную базу для подключенных устройств, позволяя сосредоточиться на продукте.
Архитектура программного обеспечения с защищенным пользовательским ядром ОС, работающим на вершине монитора безопасности, написанного Корпорацией Майкрософт, также позволяет сосредоточить усилия по программному обеспечению на дополнительных функциях Интернета вещей и устройств.
Служба безопасности Azure Sphere поддерживает проверку подлинности, обновления программного обеспечения и отчеты об ошибках через защищенные каналы между облаком и устройством и облаком. В результате создается защищенная коммуникационная инфраструктура, которая гарантирует, что ваши продукты работают под управлением самой актуальной ОС Azure Sphere. Схемы архитектуры и примеры облачных архитектур см. в статье Обзор архитектур Azure.
Аппаратная архитектура
Кроссовер MCU Azure Sphere состоит из нескольких ядер на одной матрице, как показано на следующем рисунке.
Azure Sphere MCU
Каждое ядро и связанная с ним подсистема находится в другом домене доверия. Корень доверия находится в подсистеме безопасности Pluton. Каждый слой архитектуры предполагает, что слой над ним может быть скомпрометирован. На каждом уровне изоляция ресурсов и динамические секции обеспечивают дополнительную безопасность.
Подсистема безопасности Microsoft Pluton
Подсистема безопасности Pluton — это аппаратный (в силиконе) защищенный корень доверия для Azure Sphere. Она включает в себя ядро процессора безопасности, криптографические подсистемы, аппаратный генератор случайных чисел, создание открытого и закрытого ключей, асимметричное и симметричное шифрование, поддержку проверки алгоритма цифровой подписи с эллиптической кривой (ECDSA) для защищенной загрузки и измеряемую загрузку в кремнии для поддержки удаленной аттестации с помощью облачной службы, а также различные меры противодействия незаконного изменения, включая блок обнаружения энтропии.
В рамках процесса защищенной загрузки подсистема Pluton загружает различные программные компоненты. Он также предоставляет службы среды выполнения, обрабатывает запросы от других компонентов устройства и управляет критически важными компонентами для других частей устройства.
Высокоуровневое ядро приложения
Высокоуровневое ядро приложения имеет подсистему ARM Cortex-A, которая имеет полную единицу управления памятью (MMU). Он обеспечивает аппаратное отделение процессов с помощью функций зоны доверия и отвечает за запуск операционной системы, высокоуровневых приложений и служб. Он поддерживает две операционные среды: Обычный мир (NW), который выполняет код как в пользовательском режиме, так и в режиме супервизора, и Secure World (SW), который запускает только предоставленный Корпорацией Майкрософт монитор безопасности. Высокоуровневые приложения выполняются в пользовательском режиме NW.
Ядра в режиме реального времени
Ядра в режиме реального времени имеют подсистему ввода-вывода ARM Cortex-M, которая может запускать приложения с поддержкой реального времени в виде кода без операционной системы или операционной системы реального времени (ОСРВ). Такие приложения могут сопоставлять периферийные устройства и взаимодействовать с высокоуровневыми приложениями, но не могут получить доступ к Интернету напрямую.
Подключение и связь
Первый MCU Azure Sphere предоставляет радиосвязь 802,11 b/g/n Wi-Fi, которая работает с частотой 2,4 ГГц и 5 ГГц. Высокоуровневые приложения могут настраивать, использовать и запрашивать подсистему беспроводной связи, но не могут программировать ее напрямую. В дополнение к Wi-Fi устройства Azure Sphere, которые имеют надлежащее оборудование, могут обмениваться данными по сети Ethernet или вместо них.
Мультиплексированные ввода-вывода
Платформа Azure Sphere поддерживает различные возможности ввода-вывода, что позволяет настроить встроенные устройства в соответствии с требованиями рынка и продуктов. Периферийные устройства ввода-вывода можно сопоставить либо с ядром приложения высокого уровня, либо с ядром в режиме реального времени.
Брандмауэры Майкрософт
Аппаратные брандмауэры — это силиконовые контрмеры, обеспечивающие защиту "песочницы", чтобы обеспечить доступность периферийных устройств ввода-вывода только для ядра, с которым они сопоставлены. Брандмауэры применяют секцию, предотвращая угрозу безопасности, локализованную в ядре приложения высокого уровня, от влияния на доступ ядер реального времени к периферийным устройствам.
Встроенная ОЗУ и флэш-память
MKU Azure Sphere включают не менее 4 МБ встроенной ОЗУ и 16 МБ встроенной флэш-памяти.
Архитектура программного обеспечения и ОС
Высокоуровневая платформа приложений запускает ОС Azure Sphere вместе с приложением высокого уровня для конкретного устройства, которое может взаимодействовать как с Интернетом, так и с приложениями с поддержкой реального времени, работающими на ядрах в реальном времени. На следующем рисунке показаны элементы этой платформы.
Элементы, предоставляемые корпорацией Майкрософт, отображаются серым цветом.
высокого уровня
Корпорация Майкрософт предоставляет и обслуживает все программное обеспечение, кроме приложений, относящихся к вашему устройству. Все программное обеспечение, которое выполняется на устройстве, включая высокоуровневое приложение, подписывается центром сертификации (ЦС) Майкрософт. Обновления приложений доставляются через доверенный конвейер Майкрософт, а совместимость каждого обновления с оборудованием устройства Azure Sphere проверяется перед установкой.
Среда выполнения приложения
Среда выполнения приложений, предоставляемая корпорацией Майкрософт, основана на подмножестве стандарта POSIX. Он состоит из библиотек и служб среды выполнения, которые выполняются в пользовательском режиме NW. Эта среда поддерживает создаваемые высокоуровневые приложения.
Библиотеки приложений поддерживают сетевые функции, функции хранилища и связи, которые требуются высокоуровневыми приложениями, но не поддерживают прямой универсальный ввод-вывод файлов или доступ к оболочке, среди прочих ограничений. Эти ограничения гарантируют, что платформа остается защищенной, а корпорация Майкрософт может предоставлять обновления для системы безопасности и обслуживания. Кроме того, ограниченные библиотеки предоставляют долгосрочную стабильную поверхность API, чтобы системное программное обеспечение можно было обновить для повышения безопасности, сохраняя при этом двоичную совместимость для приложений.
Службы ОС
Службы ОС размещают контейнер приложений высокого уровня и отвечают за взаимодействие со службой безопасности Azure Sphere. Они управляют сетевой проверкой подлинности и сетевым брандмауэром для всего исходящего трафика. Во время разработки службы ОС также взаимодействуют с подключенным компьютером и отлаживаемым приложением.
Пользовательское ядро Linux
Пользовательское ядро под управлением Linux работает в режиме супервизора вместе с загрузчиком. Ядро тщательно настраивается для флэш-памяти и ОЗУ MCU Azure Sphere. Он предоставляет поверхность для упреждаемого выполнения процессов пользовательского пространства в отдельных виртуальных адресных пространствах. Модель драйвера предоставляет периферийные устройства MCU для служб и приложений ОС. Драйверы Azure Sphere включают в себя Wi-Fi (который включает сетевой стек TCP/IP), UART, SPI, I2C и GPIO и другие.
Монитор безопасности
Монитор безопасности, предоставляемый Корпорацией Майкрософт, работает в sw. Он отвечает за защиту оборудования, чувствительного к безопасности, такого как память, флэш-память и другие общие ресурсы MCU, а также за безопасное предоставление ограниченного доступа к этим ресурсам. Монитор безопасности брокеров и шлюзов доступа к подсистеме безопасности Pluton и аппаратному корню доверия и выступает в качестве сторожевой группы для среды NW. Он запускает загрузчик, предоставляет службы среды выполнения для NW и управляет аппаратными брандмауэрами и другими кремниевыми компонентами, недоступными для NW.
Служба безопасности Azure Sphere
Служба безопасности Azure Sphere состоит из трех компонентов: проверки подлинности без пароля, обновления и создания отчетов об ошибках.
Проверка подлинности без пароля. Компонент проверки подлинности обеспечивает удаленную аттестацию и проверку подлинности без пароля. Служба удаленной аттестации подключается через протокол ответа на запрос, который использует функцию измеряемой загрузки в подсистеме Pluton. Он проверяет не только, что устройство загружено с правильным программным обеспечением, но и правильную версию этого программного обеспечения.
После успешной аттестации служба проверки подлинности берет на себя. Служба проверки подлинности обменивается данными через защищенное подключение TLS и выдает сертификат, который устройство может предоставить веб-службе, например Microsoft Azure или частному облаку компании. Веб-служба проверяет цепочку сертификатов, проверяя, что устройство является подлинным, что его программное обеспечение актуально и что майкрософт является его источником. После этого устройство может безопасно и безопасно подключиться к веб-службе.
Обновление. Служба обновлений распространяет автоматические обновления для ОС Azure Sphere и приложений. Служба обновления обеспечивает постоянную работу и обеспечивает удаленное обслуживание и обновление программного обеспечения приложений.
Отчеты об ошибках. Служба отчетов об ошибках предоставляет простые отчеты о сбоях для развернутого программного обеспечения. Чтобы получить расширенные данные, используйте функции отчетов и анализа, которые входят в подписку Microsoft Azure.
Все данные, хранящиеся в службе безопасности Azure Sphere, шифруются при хранении по умолчанию. Служба безопасности хранит данные в службе хранилища Azure, Azure Cosmos DB и Azure Key Vault, используя реализацию шифрования неактивных данных для каждой такой службы.