Standardy zabezpieczeń usługi Azure IoT Edge

Dotyczy: IoT Edge 1.5 IoT Edge 1.4

Ważne

Obsługiwane są wersje usługi IoT Edge 1.5 LTS i IoT Edge 1.4 LTS. Usługa IoT Edge 1.4 LTS kończy się 12 listopada 2024 r. Jeśli korzystasz z wcześniejszej wersji, zobacz aktualizację Azure IoT Edge.

Usługa Azure IoT Edge rozwiązuje zagrożenia związane z przenoszeniem danych i analiz na inteligentną krawędź. Standardy zabezpieczeń usługi IoT Edge równoważą elastyczność dla różnych scenariuszy wdrażania z ochroną oczekiwaną od wszystkich usług platformy Azure.

Usługa IoT Edge działa na różnych modelach sprzętu, obsługuje kilka systemów operacyjnych i ma zastosowanie do różnych scenariuszy wdrażania. Zamiast oferować konkretne rozwiązania dla konkretnych scenariuszy, usługa IoT Edge jest rozszerzalną strukturą zabezpieczeń opartą na dobrze zakorzenionych zasadach przeznaczonych do skalowania. Ryzyko scenariusza wdrażania zależy od wielu czynników, w tym:

• Własność rozwiązania
• Lokalizacja geograficzna wdrożenia
• Czułość danych
• Prywatność
• Aplikacja pionowa
• wymagania prawne,

Ten artykuł zawiera omówienie struktury zabezpieczeń usługi IoT Edge. Aby uzyskać więcej informacji, zobacz Zabezpieczanie inteligentnej krawędzi.

Standardy

Standardy promują łatwość kontroli i łatwość wdrażania, z których oba są znakami charakterystycznymi bezpieczeństwa. Rozwiązanie zabezpieczeń powinno dawać się kontroli w ramach oceny w celu budowania zaufania i nie powinno być przeszkodą dla wdrożenia. Projekt platformy w celu zabezpieczenia usługi Azure IoT Edge jest oparty na testowanych w czasie i sprawdzonych w branży protokołach zabezpieczeń do znajomości i ponownego użycia.

Uwierzytelnianie

Podczas wdrażania rozwiązania IoT musisz wiedzieć, że tylko zaufane podmioty, urządzenia i moduły mają dostęp do rozwiązania. Uwierzytelnianie oparte na certyfikatach to podstawowy mechanizm uwierzytelniania dla platformy Azure IoT Edge. Ten mechanizm pochodzi z zestawu standardów rządzących infrastrukturą kluczy publicznych (PKiX) przez Internet Engineering Task Force (IETF).

Wszystkie urządzenia, moduły i aktorzy korzystający z urządzenia usługi Azure IoT Edge powinny mieć unikatowe tożsamości certyfikatów. Te wskazówki dotyczą tego, czy interakcje są fizyczne, czy za pośrednictwem połączenia sieciowego. Nie każdy scenariusz lub składnik może udzielić sobie uwierzytelniania opartego na certyfikatach, więc rozszerzalność platformy zabezpieczeń oferuje bezpieczne alternatywy.

Aby uzyskać więcej informacji, zobacz Użycie certyfikatu usługi Azure IoT Edge.

Autoryzacja

Zasada najniższych uprawnień mówi, że użytkownicy i składniki systemu powinny mieć dostęp tylko do minimalnego zestawu zasobów i danych potrzebnych do wykonywania ich ról. Urządzenia, moduły i aktorzy powinni uzyskiwać dostęp tylko do zasobów i danych w ich zakresie uprawnień i tylko wtedy, gdy są one dozwolone w architekturze. Niektóre uprawnienia można konfigurować przy użyciu wystarczających uprawnień, a inne są wymuszane architekturowo. Na przykład niektóre moduły mogą być autoryzowane do łączenia się z usługą Azure IoT Hub. Nie ma jednak powodu, dla którego moduł w jednym urządzeniu usługi IoT Edge powinien uzyskiwać dostęp do bliźniaczej reprezentacji modułu na innym urządzeniu usługi IoT Edge.

Inne schematy autoryzacji obejmują prawa podpisywania certyfikatów i kontrolę dostępu opartą na rolach (RBAC).

Zaświadczanie

Zaświadczanie zapewnia integralność bitów oprogramowania, co jest ważne w przypadku wykrywania i zapobiegania złośliwemu oprogramowaniu. Struktura zabezpieczeń usługi Azure IoT Edge klasyfikuje zaświadczania w trzech głównych kategoriach:

• Zaświadczenie statyczne
• Zaświadczenie środowiska uruchomieniowego
• Zaświadczenie oprogramowania

Zaświadczenie statyczne

Zaświadczenie statyczne weryfikuje integralność wszystkich oprogramowania na urządzeniu podczas włączania, w tym systemu operacyjnego, wszystkich środowisk uruchomieniowych i informacji o konfiguracji. Ze względu na to, że podczas zasilania występuje zaświadczenie statyczne, często jest określane jako bezpieczny rozruch. Struktura zabezpieczeń urządzeń usługi IoT Edge rozszerza się na producentów i obejmuje bezpieczne możliwości sprzętowe zapewniające statyczne procesy zaświadczania. Procesy te obejmują bezpieczny rozruch i bezpieczne uaktualnienie oprogramowania układowego. Praca w ścisłej współpracy z dostawcami krzemu eliminuje zbędne warstwy oprogramowania układowego, więc minimalizuje powierzchnię zagrożenia.

Zaświadczenie środowiska uruchomieniowego

Gdy system ukończy bezpieczny proces rozruchu, dobrze zaprojektowane systemy powinny wykrywać próby wstrzyknięcia złośliwego oprogramowania i podjąć odpowiednie środki zaradcze. Ataki złośliwego oprogramowania mogą dotyczyć portów i interfejsów systemu. Jeśli złośliwi aktorzy mają fizyczny dostęp do urządzenia, mogą manipulować samym urządzeniem lub użyć ataków kanału bocznego w celu uzyskania dostępu. Takie niedokontencja, niezależnie od tego, czy zmiany konfiguracji złośliwego oprogramowania, czy nieautoryzowane, nie mogą być wykrywane przez zaświadczenie statyczne, ponieważ jest wstrzykiwane po procesie rozruchu. Środki zaradcze oferowane lub wymuszane przez sprzęt urządzenia pomagają odeprzeć takie zagrożenia. Struktura zabezpieczeń usługi IoT Edge jawnie wzywa do rozszerzeń, które walczą z zagrożeniami środowiska uruchomieniowego.

Zaświadczenie oprogramowania

Wszystkie systemy w dobrej kondycji, w tym inteligentne systemy brzegowe, wymagają poprawek i uaktualnień. Bezpieczeństwo jest ważne w przypadku procesów aktualizacji, w przeciwnym razie mogą być potencjalnymi wektorami zagrożeń. Struktura zabezpieczeń usługi IoT Edge wywołuje aktualizacje za pośrednictwem mierzonych i podpisanych pakietów w celu zapewnienia integralności i uwierzytelnienia źródła pakietów. Ten standard dotyczy wszystkich systemów operacyjnych i bitów oprogramowania aplikacji.

Katalog główny sprzętu zaufania

W przypadku wielu inteligentnych urządzeń brzegowych, zwłaszcza urządzeń, które mogą być fizycznie dostępne przez potencjalnych złośliwych podmiotów, zabezpieczenia sprzętu są ostatnią obroną ochrony. Odporność na naruszenia sprzęt ma kluczowe znaczenie dla takich wdrożeń. Usługa Azure IoT Edge zachęca bezpiecznych dostawców sprzętu krzemowego do oferowania różnych odmian głównego zaufania sprzętu w celu uwzględnienia różnych profilów ryzyka i scenariuszy wdrażania. Zaufanie sprzętowe może pochodzić z typowych standardów protokołu zabezpieczeń, takich jak Trusted Platform Module (ISO/IEC 11889) i Trusted Computing Group's Device Identifier Composition Engine (DICE). Bezpieczne technologie enklawy, takie jak TrustZones i Software Guard Extensions (SGX), zapewniają również zaufanie sprzętowe.

Certyfikacja

Aby ułatwić klientom podejmowanie świadomych decyzji podczas pozyskiwania urządzeń usługi Azure IoT Edge na potrzeby ich wdrażania, platforma usługi IoT Edge obejmuje wymagania dotyczące certyfikacji. Podstawowe dla tych wymagań są certyfikaty dotyczące oświadczeń zabezpieczeń i certyfikatów odnoszących się do weryfikacji implementacji zabezpieczeń. Na przykład certyfikat oświadczenia zabezpieczeń oznacza, że urządzenie usługi IoT Edge korzysta z bezpiecznego sprzętu znanego przed atakami rozruchowymi. Certyfikacja weryfikacji oznacza, że bezpieczny sprzęt został prawidłowo zaimplementowany w celu zaoferowania tej wartości na urządzeniu. Zgodnie z zasadą prostoty struktura stara się utrzymać minimalny ciężar certyfikacji.

Szyfrowanie w spoczynku

Szyfrowanie magazynowane zapewnia ochronę danych przechowywanych danych. Ataki na dane magazynowane obejmują próby uzyskania fizycznego dostępu do sprzętu, w którym są przechowywane dane, a następnie naruszenie zawartych danych. Szyfrowanie magazynu umożliwia ochronę danych przechowywanych na urządzeniu. System Linux ma kilka opcji szyfrowania magazynowanych. Wybierz opcję najlepiej dopasowaną do Twoich potrzeb. W przypadku systemu Windows funkcja BitLocker jest zalecaną opcją szyfrowania magazynowanych.

Rozszerzalność

Dzięki technologii IoT napędzającej różne typy transformacji biznesowych zabezpieczenia powinny ewoluować równolegle, aby sprostać pojawiającym się scenariuszom. Struktura zabezpieczeń usługi Azure IoT Edge zaczyna się od solidnej podstawy, na której opiera się na rozszerzalności w różnych wymiarach, które należy uwzględnić:

• Usługi zabezpieczeń innych firm, takie jak usługa Device Provisioning Service dla usługi Azure IoT Hub.
• Usługi innych firm, takie jak zarządzane usługi zabezpieczeń dla różnych aplikacji pionowych (takich jak przemysł lub opieka zdrowotna) lub technologia (np. monitorowanie zabezpieczeń w sieciach siatki lub usługi zaświadczania sprzętu krzemowego) za pośrednictwem bogatej sieci partnerów.
• Starsze systemy do uwzględnienia modernizacji z alternatywnymi strategiami zabezpieczeń, takimi jak używanie bezpiecznej technologii innej niż certyfikaty na potrzeby uwierzytelniania i zarządzania tożsamościami.
• Bezpieczny sprzęt do wdrażania nowych bezpiecznych technologii sprzętowych i udziałów partnerów krzemowych.

W końcu zabezpieczenie inteligentnej krawędzi wymaga współpracy współtworzenia przez otwartą społeczność opartą na wspólnym interesie zabezpieczania IoT. Te wkłady mogą być w postaci bezpiecznych technologii lub usług. Platforma zabezpieczeń usługi Azure IoT Edge oferuje solidną podstawę dla zabezpieczeń, które można rozszerzać w celu zapewnienia maksymalnego pokrycia, aby zapewnić taki sam poziom zaufania i integralności w inteligentnej krawędzi, jak w przypadku chmury platformy Azure.

Następne kroki

Dowiedz się więcej na temat zabezpieczania inteligentnej krawędzi przez usługę Azure IoT Edge.