Beveiligingsstandaarden voor Azure IoT Edge

Van toepassing op: IoT Edge 1,1 IOT Edge 1,2

Azure IoT Edge de risico's die inherent zijn bij het verplaatsen van uw gegevens en analyses naar de intelligente rand. De IoT Edge beveiligingsstandaarden zorgen voor een balans tussen flexibiliteit voor verschillende implementatiescenario's en de beveiliging die u van alle Azure-services verwacht.

IoT Edge worden uitgevoerd op verschillende hardwaremodellen, ondersteunt verschillende besturingssystemen en is van toepassing op diverse implementatiescenario's. In plaats van concrete oplossingen te bieden voor specifieke scenario's, is IoT Edge een extensible beveiligingskader op basis van goed gebaseerd principes die zijn ontworpen voor schaal. Het risico van een implementatiescenario is afhankelijk van veel factoren, waaronder:

• Eigendom van oplossing
• Implementatiegeografie
• Gevoeligheid van gegevens
• Privacy
• Toepassing verticaal
• Voorschriften

In dit artikel vindt u een overzicht van de IoT Edge security framework. Zie De intelligente rand beveiligen voor meer informatie.

Standaarden

Standaarden bevorderen het gebruiksgemak en de gemak van de implementatie, die beide een beveiligingsrisico zijn. Een beveiligingsoplossing moet geschikt zijn voor grondig onderzoek onder evaluatie om vertrouwen te bouwen en mag geen obstakel zijn voor de implementatie. Het ontwerp van het framework voor het beveiligen Azure IoT Edge is gebaseerd op door de tijd geteste en bewezen beveiligingsprotocollen voor vertrouwdheid en hergebruik.

Verificatie

Wanneer u een IoT-oplossing implementeert, moet u weten dat alleen vertrouwde actoren, apparaten en modules toegang hebben tot uw oplossing. Verificatie op basis van certificaten is het primaire mechanisme voor verificatie voor Azure IoT Edge platform. Dit mechanisme is afgeleid van een set standaarden voor public key infrastructure (PKiX) door de Internet Engineering Task Force (IETF).

Alle apparaten, modules en actoren die communiceren met het Azure IoT Edge apparaat moeten unieke certificaatidentiteiten hebben. Deze richtlijnen zijn van toepassing, ongeacht of de interacties fysiek zijn of via een netwerkverbinding. Niet elk scenario of onderdeel is mogelijk geschikt voor verificatie op basis van certificaten, dus de extensibility van het beveiligingskader biedt veilige alternatieven.

Zie certificaatgebruik Azure IoT Edge voor meer informatie.

Autorisatie

Het principe van minimale bevoegdheden geeft aan dat gebruikers en onderdelen van een systeem alleen toegang mogen hebben tot de minimale set resources en gegevens die nodig zijn om hun rollen uit te voeren. Apparaten, modules en actoren mogen alleen toegang hebben tot de resources en gegevens binnen hun machtigingsbereik en alleen wanneer deze architectuur toegestaan zijn. Sommige machtigingen kunnen worden geconfigureerd met voldoende bevoegdheden en andere worden architectuur afgedwongen. Sommige modules kunnen bijvoorbeeld worden gemachtigd om verbinding te maken met Azure IoT Hub. Er is echter geen reden waarom een module in het ene IoT Edge apparaat toegang moet hebben tot de tweeling van een module in een ander IoT Edge apparaat.

Andere autorisatieschema's zijn ondertekeningsrechten voor certificaten en op rollen gebaseerd toegangsbeheer (RBAC).

Attestation

Attestation garandeert de integriteit van softwarebits, wat belangrijk is voor het detecteren en voorkomen van malware. Het Azure IoT Edge security framework classificeert attestation onder drie hoofdcategorieën:

• Statische attestation
• Runtime-attestation
• Attestation van software

Statische attestation

Statische attestation verifieert de integriteit van alle software op een apparaat tijdens de instroom, inclusief het besturingssysteem, alle runtimes en configuratie-informatie. Omdat statische attestation plaatsvindt tijdens het opstarten, wordt dit vaak aangeduid als beveiligd opstarten. Het beveiligingskader voor IoT Edge apparaten is een uitbreiding op fabrikanten en bevat beveiligde hardwaremogelijkheden die zorgen voor statische attestation-processen. Deze processen omvatten beveiligd opstarten en een veilige firmware-upgrade. Werken in samenwerking met leveranciers van siliconen elimineert overbodige firmwarelagen, waardoor het bedreigingsoppervlak wordt geminimaliseerd.

Runtime-attestation

Zodra een systeem een beveiligd opstartproces heeft voltooid, moeten goed ontworpen systemen pogingen detecteren om malware te injecteren en de juiste maatregelen nemen. Malware-aanvallen kunnen gericht zijn op de poorten en interfaces van het systeem. Als kwaadwillende actoren fysieke toegang tot een apparaat hebben, kunnen ze knoeien met het apparaat zelf of zijkanaalaanvallen gebruiken om toegang te krijgen. Dergelijke ontevredenheid, of dit nu malware of niet-geautoriseerde configuratiewijzigingen zijn, kan niet worden gedetecteerd door statische attestation, omdat deze na het opstartproces wordt geïnjecteerd. Tegenmaatregelen die door de hardware van het apparaat worden aangeboden of afgedwongen, helpen dergelijke bedreigingen af te weren. Het beveiligingskader voor IoT Edge expliciet aan voor extensies die runtimebedreigingen bestrijden.

Attestation van software

Alle gezonde systemen, inclusief intelligente randsystemen, hebben patches en upgrades nodig. Beveiliging is belangrijk voor updateprocessen, anders kunnen ze potentiële bedreigingsvectoren zijn. Het beveiligings framework voor IoT Edge vereist updates via gemeten en ondertekende pakketten om de integriteit van de pakketten te garanderen en de bron van de pakketten te verifiëren. Deze standaard is van toepassing op alle besturingssystemen en toepassingssoftwarebits.

Vertrouwenswortel van hardware

Voor veel intelligente edge-apparaten, met name apparaten die fysiek toegankelijk zijn voor mogelijke kwaadwillende actoren, is hardwarebeveiliging de laatste beveiliging ter bescherming. Manipulatiebestendige hardware is van cruciaal belang voor dergelijke implementaties. Azure IoT Edge beveiligt leveranciers van silicon hardware om verschillende soorten hardwarevertrouwensrelatie aan te bieden voor verschillende risicoprofielen en implementatiescenario's. Hardwarevertrouwen kan afkomstig zijn van algemene beveiligingsprotocolstandaarden zoals Trusted Platform Module (ISO/IEC 11889) en de Device Identifier Composition Engine (DICE) van Trusted Computing Group. Veilige enclavetechnologieën zoals TrustZones en Software Guard Extensions (SGX) bieden ook hardwarevertrouwen.

Certificering

Om klanten te helpen weloverwogen beslissingen te nemen bij het aanschaffen Azure IoT Edge apparaten voor hun implementatie, bevat het IoT Edge framework certificeringsvereisten. Basis voor deze vereisten zijn certificeringen met betrekking tot beveiligingsclaims en certificeringen die betrekking hebben op validatie van de implementatie van de beveiliging. Een beveiligingsclaimcertificering betekent bijvoorbeeld dat het IoT Edge gebruikt beveiligde hardware die bekend staat om opstartaanvallen te weigeren. Een validatiecertificering betekent dat de beveiligde hardware correct is geïmplementeerd om deze waarde in het apparaat aan te bieden. In overeenstemming met het principe van eenvoud, probeert het framework de last van certificering zo klein mogelijk te houden.

Uitbreidbaarheid

Met IoT-technologie die verschillende soorten bedrijfstransformaties aandrijft, moet de beveiliging zich parallel ontwikkelen om in opkomende scenario's aan te pakken. Het Azure IoT Edge security framework begint met een solide basis waarop de extensibility wordt opgebouwd in verschillende dimensies, waaronder:

• Eigen beveiligingsservices, zoals Device Provisioning Service voor Azure IoT Hub.
• Services van derden, zoals beheerde beveiligingsservices voor verschillende toepassings-verticalen (zoals industrie of gezondheidszorg) of technologiefocus (zoals beveiligingsbewaking in mesh-netwerken of silicon hardware attestation-services) via een uitgebreid netwerk van partners.
• Verouderde systemen moeten worden aangepast aan alternatieve beveiligingsstrategieën, zoals het gebruik van andere veilige technologie dan certificaten voor verificatie- en identiteitsbeheer.
• Beveilig hardware voor de ingebruikname van opkomende veilige hardwaretechnologieën en bijdragen van silicon partners.

Uiteindelijk zijn voor het beveiligen van de intelligente rand gezamenlijke bijdragen van een open community vereist, die wordt aangestuurd door de gemeenschappelijke interesse voor het beveiligen van IoT. Deze bijdragen kunnen worden geleverd in de vorm van veilige technologieën of services. Het Azure IoT Edge security framework biedt een solide basis voor beveiliging die kan worden gebruikt voor maximale dekking om hetzelfde vertrouwens- en integriteitsniveau te bieden in de intelligente rand als bij de Azure-cloud.

Volgende stappen

Lees meer over hoe Azure IoT Edge de intelligente rand beveiligt.