Beveiligingsstandaarden voor Azure IoT Edge

  • Artikel

Van toepassing op:IoT Edge 1.4 checkmark IoT Edge 1.4

Belangrijk

IoT Edge 1.4 is de ondersteunde release. Raadpleeg IoT Edge bijwerken als u een eerdere versie hebt.

Azure IoT Edge behandelt de risico's die inherent zijn bij het verplaatsen van uw gegevens en analyses naar de intelligente rand. De IoT Edge-beveiligingsstandaarden verdelen de flexibiliteit voor verschillende implementatiescenario's met de beveiliging die u van alle Azure-services verwacht.

IoT Edge wordt uitgevoerd op verschillende merken en modellen van hardware, ondersteunt verschillende besturingssystemen en is van toepassing op diverse implementatiescenario's. In plaats van concrete oplossingen te bieden voor specifieke scenario's, is IoT Edge een uitbreidbaar beveiligingsframework op basis van goedaardige principes die zijn ontworpen voor schaalaanpassing. Het risico van een implementatiescenario is afhankelijk van veel factoren, waaronder:

  • Eigendom van oplossing
  • Geografie van implementatie
  • Vertrouwelijkheid van gegevens
  • Privacy
  • Toepassing verticaal
  • Wettelijke vereisten

Dit artikel bevat een overzicht van het IoT Edge-beveiligingsframework. Zie De intelligente rand beveiligen voor meer informatie.

Standaarden

Normen bevorderen het gemak van de controle en de implementatie, die beide kenmerken van beveiliging zijn. Een beveiligingsoplossing moet zichzelf lenen om te controleren op basis van de evaluatie om vertrouwen te bouwen en mag geen obstakel zijn voor de implementatie. Het ontwerp van het framework voor het beveiligen van Azure IoT Edge is gebaseerd op tijd geteste en bewezen beveiligingsprotocollen voor vertrouwdheid en hergebruik.

Verificatie

Wanneer u een IoT-oplossing implementeert, moet u weten dat alleen vertrouwde actoren, apparaten en modules toegang hebben tot uw oplossing. Verificatie op basis van certificaten is het primaire mechanisme voor verificatie voor het Azure IoT Edge-platform. Dit mechanisme is afgeleid van een set standaarden voor Public Key Infrastructure (PKiX) door de Internet Engineering Task Force (IETF).

Alle apparaten, modules en actoren die communiceren met het Azure IoT Edge-apparaat, moeten unieke certificaatidentiteiten hebben. Deze richtlijnen zijn van toepassing of de interacties fysiek of via een netwerkverbinding zijn. Niet elk scenario of onderdeel kan zich lenen voor verificatie op basis van certificaten, dus de uitbreidbaarheid van het beveiligingsframework biedt veilige alternatieven.

Zie het gebruik van Azure IoT Edge-certificaten voor meer informatie.

Autorisatie

Het principe van minimale bevoegdheden geeft aan dat gebruikers en onderdelen van een systeem alleen toegang moeten hebben tot de minimale set resources en gegevens die nodig zijn om hun rollen uit te voeren. Apparaten, modules en actoren moeten alleen toegang hebben tot de resources en gegevens binnen hun machtigingsbereik, en alleen wanneer dit architectuur mogelijk is. Sommige machtigingen kunnen worden geconfigureerd met voldoende bevoegdheden en andere worden architectonisch afgedwongen. Sommige modules kunnen bijvoorbeeld zijn gemachtigd om verbinding te maken met Azure IoT Hub. Er is echter geen reden waarom een module in een IoT Edge-apparaat toegang moet krijgen tot de dubbel van een module op een ander IoT Edge-apparaat.

Andere autorisatieschema's omvatten certificaatondertekeningsrechten en op rollen gebaseerd toegangsbeheer (RBAC).

Attestation

Attestation zorgt voor de integriteit van software-bits, wat belangrijk is voor het detecteren en voorkomen van malware. Het Azure IoT Edge-beveiligingsframework classificeert attestation onder drie hoofdcategorieën:

  • Statische attestation
  • Runtime-attestation
  • Software attestation

Statische attestation

Statische attestation controleert de integriteit van alle software op een apparaat tijdens het inschakelen, inclusief het besturingssysteem, alle runtimes en configuratiegegevens. Omdat statische attestation plaatsvindt tijdens het inschakelen, wordt het vaak aangeduid als beveiligd opstarten. Het beveiligingsframework voor IoT Edge-apparaten is uitgebreid naar fabrikanten en bevat beveiligde hardwaremogelijkheden die statische attestation-processen garanderen. Deze processen omvatten beveiligde opstart- en beveiligde firmware-upgrade. Werken in nauwe samenwerking met siliciumleveranciers elimineert overbodige firmwarelagen, dus minimaliseert het bedreigingsoppervlak.

Runtime-attestation

Zodra een systeem een beveiligd opstartproces heeft voltooid, moeten goed ontworpen systemen pogingen detecteren om malware te injecteren en de juiste tegenmaatregelen nemen. Malwareaanvallen kunnen gericht zijn op de poorten en interfaces van het systeem. Als kwaadwillende actoren fysieke toegang hebben tot een apparaat, kunnen ze knoeien met het apparaat zelf of zijkanaalaanvallen gebruiken om toegang te krijgen. Dergelijke malcontent, of malware of niet-geautoriseerde configuratiewijzigingen, kunnen niet worden gedetecteerd door statische attestation omdat deze wordt geïnjecteerd na het opstartproces. Tegenmaatregelen die worden aangeboden of afgedwongen door de hardware van het apparaat, helpen om dergelijke bedreigingen af te dwingen. Het beveiligingsframework voor IoT Edge roept expliciet op voor extensies die runtimebedreigingen bestrijden.

Software attestation

Alle gezonde systemen, inclusief intelligente edge-systemen, hebben patches en upgrades nodig. Beveiliging is belangrijk voor updateprocessen, anders kunnen dit mogelijke bedreigingsvectoren zijn. Het beveiligingsframework voor IoT Edge roept updates aan via gemeten en ondertekende pakketten om de integriteit van en verificatie van de bron van de pakketten te garanderen. Deze standaard is van toepassing op alle besturingssystemen en toepassingssoftware bits.

Hardwarehoofdmap van vertrouwen

Voor veel intelligente edge-apparaten, met name apparaten die fysiek toegankelijk zijn voor potentiële kwaadwillende actoren, is hardwarebeveiliging de laatste verdediging voor beveiliging. Manipulatiebestendige hardware is cruciaal voor dergelijke implementaties. Azure IoT Edge moedigt veilige leveranciers van siliciumhardware aan om verschillende soorten hardwarehoofdmap van vertrouwen te bieden voor verschillende risicoprofielen en implementatiescenario's. Hardwarevertrouwen kan afkomstig zijn van algemene standaarden voor beveiligingsprotocol's zoals Trusted Platform Module (ISO/IEC 11889) en de Device Identifier Composition Engine (DICE) van de Trusted Computing Group. Beveiligde enclavetechnologieën zoals TrustZones en Software Guard Extensions (SGX) bieden ook hardwarevertrouwen.

Certificering

Om klanten te helpen weloverwogen beslissingen te nemen bij het aanschaffen van Azure IoT Edge-apparaten voor hun implementatie, bevat het IoT Edge-framework certificeringsvereisten. Basis voor deze vereisten zijn certificeringen met betrekking tot beveiligingsclaims en certificeringen die betrekking hebben op validatie van de beveiligingsuitvoering. Een beveiligingsclaimcertificering betekent bijvoorbeeld dat het IoT Edge-apparaat gebruikmaakt van beveiligde hardware die bekend is tegen opstartaanvallen. Een validatiecertificering betekent dat de beveiligde hardware correct is geïmplementeerd om deze waarde in het apparaat aan te bieden. In overeenstemming met het eenvoudsbeginsel probeert het framework de certificeringslast minimaal te houden.

Versleuteling 'at rest'

Versleuteling-at-rest biedt gegevensbeveiliging voor opgeslagen gegevens. Aanvallen op data-at-rest omvatten pogingen om fysieke toegang te krijgen tot de hardware waarop de gegevens zijn opgeslagen en vervolgens inbreuk te maken op de ingesloten gegevens. U kunt opslagversleuteling gebruiken om gegevens te beveiligen die zijn opgeslagen op het apparaat. Linux heeft verschillende opties voor versleuteling-at-rest. Kies de optie die het beste bij uw behoeften past. Voor Windows is Windows BitLocker de aanbevolen optie voor versleuteling-at-rest.

Uitbreidbaarheid

Met IoT-technologie die verschillende typen bedrijfstransformaties aansturen, moet de beveiliging zich parallel ontwikkelen om opkomende scenario's aan te pakken. Het Azure IoT Edge-beveiligingsframework begint met een solide basis waarop het in uitbreidbaarheid in verschillende dimensies bouwt om het volgende op te nemen:

  • Externe beveiligingsservices, zoals Device Provisioning Service voor Azure IoT Hub.
  • Services van derden zoals beheerde beveiligingsservices voor verschillende toepassingsverticalen (zoals industriële of gezondheidszorg) of technologiefocus (zoals beveiligingsbewaking in mesh-netwerken of silicon hardware attestation-services) via een uitgebreid netwerk van partners.
  • Verouderde systemen die retrofitting met alternatieve beveiligingsstrategieën omvatten, zoals het gebruik van andere beveiligde technologie dan certificaten voor verificatie en identiteitsbeheer.
  • Veilige hardware voor de acceptatie van opkomende veilige hardwaretechnologieën en bijdragen van silicon partners.

Uiteindelijk vereist het beveiligen van de intelligente rand gezamenlijke bijdragen van een open community die wordt gedreven door het gemeenschappelijk belang bij het beveiligen van IoT. Deze bijdragen kunnen de vorm hebben van veilige technologieën of diensten. Het Azure IoT Edge-beveiligingsframework biedt een solide basis voor beveiliging die uitbreidbaar is voor de maximale dekking om hetzelfde vertrouwens- en integriteitsniveau in de intelligente rand te bieden als met de Azure-cloud.

Volgende stappen

Lees meer over hoe Azure IoT Edge de intelligente rand beveiligt.