Azure Sphere nedir?
Azure Sphere, internete bağlı cihazlar için yerleşik iletişim ve güvenlik özelliklerine sahip güvenli, üst düzey bir uygulama platformudur. Güvenli, bağlantılı, çapraz mikrodenetleyici birimi (MCU), özel bir üst düzey Linux tabanlı işletim sistemi (OS) ve sürekli, yenilenebilir güvenlik sağlayan bulut tabanlı bir güvenlik hizmetinden oluşur.
Azure Sphere MCU, gerçek zamanlı işleme özelliklerini üst düzey bir işletim sistemi çalıştırma özelliğiyle tümleştirir. Azure Sphere MCU, işletim sistemi ve uygulama platformuyla birlikte, uzaktan güncelleştirilebilen, denetlenebilen, izlenebilen ve bakımı yapabilen güvenli, İnternet'e bağlı cihazların oluşturulmasını sağlar. Mevcut MCU'ların yanında veya yerine Azure Sphere MCU içeren bağlı bir cihaz gelişmiş güvenlik, üretkenlik ve fırsat sağlar. Örneğin:
- Güvenli bir uygulama ortamı, kimliği doğrulanmış bağlantılar ve çevre birimlerinin kullanımını kabul etmek kimlik sahtekarlığına, sahte yazılımlara veya hizmet reddi saldırılarına bağlı güvenlik risklerini en aza indirir.
- Yazılım güncelleştirmeleri sorunları gidermek, yeni işlevsellik sağlamak veya yeni saldırı yöntemlerine karşı koymak için buluttan bağlı herhangi bir cihaza otomatik olarak dağıtılabilir ve böylece destek personelinin üretkenliği artırılabilir.
- Ürün kullanım verileri, sorunları tanılamaya ve yeni ürünler tasarlamaya yardımcı olmak için güvenli bir bağlantı üzerinden buluta bildirilebilir, böylece ürün hizmeti, olumlu müşteri etkileşimleri ve gelecekteki geliştirme fırsatları artar.
Azure Sphere Güvenlik Hizmeti, Azure Sphere'in ayrılmaz bir özelliğidir. Azure Sphere MCU'ları bu hizmeti kullanarak buluta ve web'e güvenli bir şekilde bağlanır. Hizmet, cihazın yalnızca orijinal, onaylı yazılımların yetkili bir sürümüyle önyüklemesini sağlar. Buna ek olarak, Güvenlik sorunlarını azaltmak için Microsoft'un sahada dağıtılan cihazlara işletim sistemi güncelleştirmelerini otomatik olarak indirip yükleyebileceği güvenli bir kanal sağlar. Üretici veya son kullanıcı müdahalesi gerekli değildir, bu nedenle ortak bir güvenlik deliği kapatılır.
Not
Azure Sphere, PAPI tabanlı arabirimi Azure Sphere (Eski) ve tümleşik genel önizleme Azure Resource Manager arabirimini Azure Sphere (Tümleşik) olarak ifade eder.
Genel Önizleme sırasında Azure Sphere'ın (Tümleşik) yalnızca geliştirme ve test amacıyla kullanılması önerilir. En iyi yöntem olarak, üretim kullanım örnekleri bir Önizleme ürünü kullanmamalıdır. Bu nedenle üretim kullanım örnekleri için, artık Azure Sphere (Eski) olarak bilinen mevcut Azure Sphere Güvenlik Hizmeti arabirimini kullanmaya devam etmenizi öneririz. Bu arabirim tam olarak desteklenmeye ve genel kullanıma sunulmaya devam eder.
Azure Sphere senaryosu
Azure Sphere'ın gerçek dünya ayarında nasıl çalıştığını anlamak için bu senaryoya göz önünde bulundurun.
Contoso, Ltd., bir Azure Sphere MCU'sunu bulaşık makinelerine ekleyen bir beyaz eşya ürün üreticisidir. DW100 bulaşık makinesi, MCU'ya çeşitli algılayıcılar ve Azure Sphere MCU üzerinde çalışan bir yerleşik üst düzey uygulama ile bir araya getirir. Uygulama, Azure Sphere Güvenlik Hizmeti ve Contoso'nun bulut hizmetleriyle iletişim kurar. Aşağıdaki diyagramda bu senaryo gösterilmektedir:
Contoso ağa bağlı bulaşık makinelerine bağlanır
Sol üstten başlayıp saat yönünde hareket ediyor:
Microsoft, Azure Sphere Güvenlik Hizmeti aracılığıyla Azure Sphere işletim sistemi güncelleştirmelerini yayınlar.
Contoso ürün mühendisliği, DW100 uygulamasına yönelik güncelleştirmeleri Azure Sphere Güvenlik Hizmeti aracılığıyla yayınlar.
Azure Sphere Güvenlik Hizmeti, güncelleştirilmiş işletim sistemini ve Contoso DW100 uygulama yazılımını son kullanıcı konumlarında bulaşık makinelerine güvenli bir şekilde dağıtır.
Contoso bulaşık makinesi desteği, Azure Sphere yazılımının ve DW100 uygulama yazılımının her bir son kullanıcı cihazında hangi sürümünün çalışması gerektiğini belirlemek ve hizmete bildirilen hata raporlama verilerini depolamak için Azure Sphere Güvenlik Hizmeti ile iletişim kurar. Contoso bulaşık makinesi desteği, ek bilgi için Contoso bulut hizmetiyle de iletişim kurar.
Contoso bulut hizmetleri sorun giderme, veri analizi ve müşteri etkileşimi için uygulamaları destekler. Contoso'nun bulut hizmetleri Microsoft Azure tarafından, başka bir satıcının bulut hizmeti veya Contoso'nun kendi bulutu tarafından barındırılabilir.
Son kullanıcı konumlarındaki Contoso DW100 modelleri, Azure Sphere Güvenlik Hizmeti bağlantısı üzerinden güncelleştirilmiş işletim sistemi ve uygulama yazılımı indirir. Ayrıca contoso'nun bulut hizmeti uygulamasıyla iletişim kurarak ek verileri bildirebilirler.
Örneğin, bulaşık makinesindeki algılayıcılar su sıcaklığını, kurutma sıcaklığını ve durulama aracı düzeyini izleyebilir ve bu verileri Contoso'nun bulut hizmetlerine yükleyebilir ve burada bir bulut hizmeti uygulaması olası sorunlar için analiz eder. Kuruma sıcaklığı alışılmadık derecede sıcak veya seyrek görünüyorsa (arızalı bir parçaya işaret edebilir), Contoso tanılamayı uzaktan çalıştırır ve müşteriye onarım gerektiğini bildirir. Bulaşık makinesi garanti kapsamındaysa, bulut hizmeti uygulaması müşterinin yerel onarım mağazasının yedek parçaya sahip olmasını da sağlayarak bakım ziyaretlerini ve envanter gereksinimlerini azaltabilir. Benzer şekilde, durulama aracısı düşükse, bulaşık makinesi müşteriye doğrudan üreticiden daha fazla durulama aracısı satın alması için sinyal verebilir.
Tüm iletişimler güvenli, kimliği doğrulanmış bağlantılar üzerinden gerçekleşir. Contoso destek ve mühendislik personeli Azure Sphere Güvenlik Hizmeti, Microsoft Azure özellikleri veya Contoso'ya özgü bir bulut hizmeti uygulamasını kullanarak verileri görselleştirebilir. Contoso ayrıca, bulaşık makinesi sahiplerinin hizmet isteyebileceği, bulaşık makinesi kaynak kullanımını izleyebildiği veya şirketle başka bir şekilde etkileşim kurabileceği, müşteriye yönelik web ve mobil uygulamalar da sağlayabilir.
Contoso, Azure Sphere dağıtım araçlarını kullanarak her uygulama yazılım güncelleştirmesini uygun bulaşık makinesi modeline hedefler ve Azure Sphere Güvenlik Hizmeti yazılım güncelleştirmelerini doğru cihazlara dağıtır. Bulaşık makinelerine yalnızca imzalı ve doğrulanmış yazılım güncelleştirmeleri yüklenebilir.
Azure Sphere ve yüksek oranda güvenli cihazların yedi özelliği
Azure Sphere platformunun birincil hedeflerinden biri, düşük maliyetle yüksek değerli güvenlik sağlamaktır, böylece fiyata duyarlı, mikrodenetleyici destekli cihazlar İnternet'e güvenli ve güvenilir bir şekilde bağlanabilir. Ağa bağlı oyuncaklar, gereçler ve diğer tüketici cihazları yaygınlaştıkçe, güvenlik son derece önemlidir. Cihaz donanımının güvenliğinin sağlanmasıyla kalmaz, yazılımının ve bulut bağlantılarının da güvenliği sağlanmalıdır. İşletim ortamında herhangi bir yerde güvenlik hatası tüm ürünü ve potansiyel olarak yakındaki herhangi bir şeyi veya herhangi birini tehdit eder.
Microsoft'un onlarca yıllık internet güvenliği deneyimine bağlı olarak, Azure Sphere ekibi yüksek oranda güvenli cihazların yedi özelliğini tanımladı. Azure Sphere platformu şu yedi özellik etrafında tasarlanmıştır:
Donanım tabanlı güven kökü. Donanım tabanlı bir güven kökü, cihazın ve kimliğinin ayrılamamasına ve dolayısıyla cihaz sahteciliğini veya sahtekarlığını önlemeye yönelik bir kök sağlar. Her Azure Sphere MCU, Microsoft tarafından tasarlanmış Pluton güvenlik alt sistemi donanımı tarafından oluşturulan ve korunan, öngörülemeyen bir şifreleme anahtarıyla tanımlanır. Bu, fabrikadan son kullanıcıya kadar kurcalamaya dayanıklı, güvenli bir donanım güven kökü sağlar.
Derinlemesine savunma. Derinlemesine savunma, birden çok güvenlik katmanı ve dolayısıyla her bir tehdide karşı birden çok risk azaltma sağlar. Azure Sphere platformundaki her yazılım katmanı, üzerindeki katmanın güvenli olduğunu doğrular.
Küçük güvenilir bilgi işlem tabanı. Cihazın yazılımının çoğu güvenilir bilgi işlem tabanının dışında kalır ve böylece saldırılar için yüzey alanı azalır. Yalnızca Microsoft'un sağladığı güvenli Güvenlik İzleyicisi, Pluton çalışma zamanı ve Pluton alt sistemi güvenilen bilgi işlem tabanında çalışır.
Dinamik bölmeler. Dinamik bölmeler tek bir hatanın ulaşmasını sınırlar. Azure Sphere MCU'ları, bir bileşendeki güvenlik ihlalinin diğer bileşenlere yayılmasını önlemek için donanım güvenlik duvarları da dahil olmak üzere silikon karşı önlemleri içerir. Kısıtlanmış, "korumalı" bir çalışma zamanı ortamı, uygulamaların güvenli kodu veya verileri bozmasını önler.
Parolasız kimlik doğrulaması. Öngörülemeyen bir şifreleme anahtarıyla doğrulanan imzalı sertifikaların kullanılması, parolalardan çok daha güçlü kimlik doğrulaması sağlar. Azure Sphere platformu için her yazılım öğesinin imzalanması gerekir. Cihazdan buluta ve buluttan cihaza iletişim, sertifikalarla gerçekleştirilen daha fazla kimlik doğrulaması gerektirir.
Hata raporlama. Cihaz yazılımı veya donanımındaki hatalar, yeni ortaya çıkan güvenlik saldırılarında tipiktir; cihaz hatasına neden olan hatalar bir hizmet reddi saldırısı oluşturur. Cihazdan buluta iletişim olası hatalar için erken uyarı sağlar. Azure Sphere cihazları işletimsel verileri ve hataları bulut tabanlı bir analiz sistemine otomatik olarak bildirebilir ve güncelleştirmeler ve bakımlar uzaktan gerçekleştirilebilir.
Yenilenebilir güvenlik. Cihaz yazılımı, bilinen güvenlik açıklarını veya güvenlik ihlallerini düzeltmek için otomatik olarak güncelleştirilir ve ürün üreticisinin veya son kullanıcının müdahalesi gerekmez. Azure Sphere Güvenlik Hizmeti, Azure Sphere işletim sistemini ve uygulamalarınızı otomatik olarak güncelleştirir.
Azure Sphere mimarisi
Azure Sphere donanım, yazılım ve Güvenlik Hizmeti birlikte çalışarak cihaz bakımı, denetimi ve güvenliğine yönelik benzersiz, tümleşik yaklaşımlar sağlar.
Donanım mimarisi, bağlı cihazlar için temel olarak güvenli bir bilgi işlem tabanı sağlayarak ürününüz üzerinde odaklanmanızı sağlar.
Microsoft tarafından yazılan Güvenlik İzleyicisi'nin üzerinde çalışan güvenli bir özel işletim sistemi çekirdeğine sahip yazılım mimarisi, benzer şekilde yazılım çalışmalarınızı katma değerli IoT ve cihaza özgü özelliklere yoğunlaştırmanızı sağlar.
Azure Sphere Güvenlik Hizmeti güvenli buluttan cihaza ve cihazdan buluta kanallar üzerinden kimlik doğrulama, yazılım güncelleştirmeleri ve hata raporlamayı destekler. Sonuç olarak, ürünlerinizin en güncel Azure Sphere işletim sistemini çalıştırmasını sağlayan güvenli bir iletişim altyapısı elde edilir. Mimari diyagramları ve bulut mimarisi örnekleri için bkz. Azure Mimarilerine Göz Atma.
Donanım mimarisi
Azure Sphere çapraz geçişi MCU, aşağıdaki şekilde gösterildiği gibi tek bir zar üzerinde birden çok çekirdek içerir.
Azure Sphere MCU donanım mimarisi
Her çekirdek ve ilişkili alt sistemi farklı bir güven etki alanındadır. Güvenin kökü Pluton güvenlik alt sisteminde bulunur. Mimarinin her katmanı, üzerindeki katmanın gizliliğinin ihlal edilebileceğini varsayar. Her katmanda kaynak yalıtımı ve dinamik bölmeler ek güvenlik sağlar.
Microsoft Pluton güvenlik alt sistemi
Pluton güvenlik alt sistemi, Azure Sphere için donanım tabanlı (silikon) güvenli güven köküdür. Güvenlik işlemci çekirdeği, şifreleme altyapıları, donanım rastgele sayı oluşturucu, ortak/özel anahtar oluşturma, asimetrik ve simetrik şifreleme, güvenli önyükleme için üç nokta eğri dijital imza algoritması (ECDSA) doğrulaması desteği ve bulut hizmetiyle uzaktan kanıtlamayı desteklemek için silikonda ölçülen önyükleme ve entropi algılama birimi de dahil olmak üzere çeşitli kurcalama karşı önlemleri içerir.
Güvenli önyükleme işleminin bir parçası olarak Pluton alt sistemi çeşitli yazılım bileşenlerini önyükler. Ayrıca çalışma zamanı hizmetleri sağlar, cihazın diğer bileşenlerinden gelen istekleri işler ve cihazın diğer bölümleri için kritik bileşenleri yönetir.
Üst düzey uygulama çekirdeği
Üst düzey uygulama çekirdeği, tam bellek yönetim birimine (MMU) sahip bir ARM Cortex-A alt sistemine sahiptir. Güven bölgesi işlevselliğini kullanarak işlemlerin donanım tabanlı bölümlere ayırmasını sağlar ve işletim sistemini, üst düzey uygulamaları ve hizmetleri çalıştırmakla sorumludur. İki işletim ortamı destekler: Hem kullanıcı modunda hem de gözetmen modunda kod çalıştıran Normal World (NW) ve yalnızca Microsoft tarafından sağlanan Güvenlik İzleyicisi'ni çalıştıran Secure World (SW). Üst düzey uygulamalarınız NW kullanıcı modunda çalışır.
Gerçek zamanlı çekirdekler
Gerçek zamanlı çekirdekler, gerçek zamanlı uygulamaları çıplak kod veya gerçek zamanlı işletim sistemi (RTOS) olarak çalıştırabilen bir ARM Cortex-M G/Ç alt sistemine sahiptir. Bu tür uygulamalar çevre birimlerini eşleyebilir ve üst düzey uygulamalarla iletişim kurabilir ancak İnternet'e doğrudan erişemez.
Bağlantı ve iletişim
İlk Azure Sphere MCU, hem 2,4 GHz hem de 5 GHz'de çalışan bir 802,11 b/g/n Wi-Fi radyo sağlar. Üst düzey uygulamalar kablosuz iletişim alt sistemini yapılandırabilir, kullanabilir ve sorgulayabilir, ancak doğrudan programlayamaz. Wi-Fi kullanmaya ek olarak veya kullanmak yerine, düzgün donatılmış Azure Sphere cihazları bir Ethernet ağında iletişim kurabilir.
Multiplexed G/Ç
Azure Sphere platformu, ekli cihazları pazar ve ürün gereksinimlerinize uyacak şekilde yapılandırabilmeniz için çeşitli G/Ç özelliklerini destekler. G/Ç çevre birimleri, üst düzey uygulama çekirdeğine veya gerçek zamanlı bir çekirdekle eşlenebilir.
Microsoft güvenlik duvarları
Donanım güvenlik duvarları, G/Ç çevre birimlerinin yalnızca eşlendikleri çekirdek için erişilebilir olmasını sağlamak için "korumalı alan" koruması sağlayan silikon karşı önlemlerdir. Güvenlik duvarları bölmelere ayırma uygular ve böylece üst düzey uygulama çekirdeğinde yerelleştirilmiş bir güvenlik tehdidinin gerçek zamanlı çekirdeklerin çevre birimlerine erişimini etkilemesini önler.
Tümleşik RAM ve flaş
Azure Sphere MCU'ları en az 4 MB tümleşik RAM ve 16 MB tümleşik flash bellek içerir.
Yazılım mimarisi ve işletim sistemi
Üst düzey uygulama platformu, Azure Sphere işletim sistemini hem İnternet ile hem de gerçek zamanlı çekirdeklerde çalışan gerçek zamanlı özellikli uygulamalarla iletişim kurabilen cihaza özgü üst düzey bir uygulamayla birlikte çalıştırır. Aşağıdaki şekilde bu platformun öğeleri gösterilmektedir.
Microsoft tarafından sağlanan öğeler gri renkle gösterilir.
Üst Düzey Uygulama Platformu
Microsoft, cihazınıza özgü uygulamalar dışındaki tüm yazılımları sağlar ve korur. Üst düzey uygulama dahil olmak üzere cihazda çalışan tüm yazılımlar Microsoft sertifika yetkilisi (CA) tarafından imzalanır. Uygulama güncelleştirmeleri güvenilir Microsoft işlem hattı aracılığıyla teslim edilir ve her güncelleştirmenin Azure Sphere cihaz donanımıyla uyumluluğu yüklemeden önce doğrulanır.
Uygulama çalışma zamanı
Microsoft tarafından sağlanan uygulama çalışma zamanı POSIX standardının bir alt kümesini temel alır. NW kullanıcı modunda çalışan kitaplıklardan ve çalışma zamanı hizmetlerinden oluşur. Bu ortam, oluşturduğunuz üst düzey uygulamaları destekler.
Uygulama kitaplıkları, üst düzey uygulamaların gerektirdiği ancak diğer kısıtlamaların yanında doğrudan genel dosya G/Ç veya kabuk erişimini desteklemeyen ağ, depolama ve iletişim özelliklerini destekler. Bu kısıtlamalar, platformun güvenli kalmasını ve Microsoft'un güvenlik ve bakım güncelleştirmeleri sağlayabilmesini sağlar. Buna ek olarak, kısıtlanmış kitaplıklar sistem yazılımının uygulamalar için ikili uyumluluğu korurken güvenliği artıracak şekilde güncelleştirilebilmesi için uzun vadeli kararlı bir API yüzeyi sağlar.
İşletim sistemi hizmetleri
İşletim sistemi hizmetleri üst düzey uygulama kapsayıcısını barındırır ve Azure Sphere Güvenlik Hizmeti ile iletişim kurmakla sorumludur. Tüm giden trafik için ağ kimlik doğrulamasını ve ağ güvenlik duvarını yönetir. Geliştirme sırasında işletim sistemi hizmetleri, bağlı bir bilgisayar ve hata ayıklanan uygulamayla da iletişim kurar.
Özel Linux çekirdeği
Özel Linux tabanlı çekirdek, bir önyükleme yükleyicisi ile birlikte gözetmen modunda çalışır. Çekirdek, Azure Sphere MCU'nun flash ve RAM ayak izi için dikkatle ayarlanır. Ayrı sanal adres alanlarında kullanıcı alanı işlemlerinin önceden dağıtılabilir bir şekilde yürütülmesi için bir yüzey sağlar. Sürücü modeli, işletim sistemi hizmetleri ve uygulamaları için MCU çevre birimlerini kullanıma sunar. Azure Sphere sürücüleri arasında Wi-Fi (TCP/IP ağ yığınını içeren), UART, SPI, I2C ve GPIO bulunur.
Güvenlik İzleyicisi
Microsoft tarafından sağlanan Güvenlik İzleyicisi SW'de çalışır. Bellek, flash ve diğer paylaşılan MCU kaynakları gibi güvenlik açısından hassas donanımları korumak ve bu kaynaklara sınırlı erişimi güvenli bir şekilde ortaya çıkarmakla sorumludur. Güvenlik İzleyicisi aracıları ve geçitleri, Pluton Güvenlik Alt Sistemi'ne ve güvenin donanım köküne erişim sağlar ve NW ortamı için bir izleme görevi görür. Önyükleme yükleyicisini başlatır, çalışma zamanı hizmetlerini NW'ye sunar ve NW tarafından erişilmeyen donanım güvenlik duvarlarını ve diğer silikon bileşenlerini yönetir.
Azure Sphere Güvenlik Hizmeti
Azure Sphere Güvenlik Hizmeti üç bileşenden oluşur: parolasız kimlik doğrulaması, güncelleştirme ve hata raporlama.
Parolasız kimlik doğrulaması. Kimlik doğrulama bileşeni, uzaktan kanıtlama ve parolasız kimlik doğrulaması sağlar. Uzaktan kanıtlama hizmeti, Pluton alt sisteminde ölçülen önyükleme özelliğini kullanan bir sınama yanıtı protokolü aracılığıyla bağlanır. Yalnızca cihazın doğru yazılımla değil, aynı zamanda doğru yazılım sürümüyle önyüklendiğini doğrular.
Kanıtlama başarılı olduktan sonra kimlik doğrulama hizmeti devralır. Kimlik doğrulama hizmeti güvenli bir TLS bağlantısı üzerinden iletişim kurar ve cihazın Microsoft Azure veya şirketin özel bulutu gibi bir web hizmetine sunabileceği bir sertifika verir. Web hizmeti sertifika zincirini doğrular, böylece cihazın orijinal olduğunu, yazılımının güncel olduğunu ve Microsoft'un kaynağı olduğunu doğrular. Cihaz daha sonra çevrimiçi hizmetle güvenli ve güvenli bir şekilde bağlanabilir.
Güncelleştirme. Güncelleştirme hizmeti, Azure Sphere işletim sistemi ve uygulamalar için otomatik güncelleştirmeleri dağıtır. Güncelleştirme hizmeti, çalışmaya devam edilmesini sağlar ve uygulama yazılımının uzaktan bakım ve güncelleştirmesini etkinleştirir.
Hata raporlama. Hata raporlama hizmeti, dağıtılan yazılımlar için basit kilitlenme raporlaması sağlar. Daha zengin veriler elde etmek için Bir Microsoft Azure aboneliğine dahil edilen raporlama ve analiz özelliklerini kullanın.
Azure Sphere Güvenlik Hizmeti ile depolanan tüm veriler varsayılan olarak beklemede şifrelenir. Güvenlik Hizmeti verileri Azure Depolama, Azure Cosmos DB ve Azure Key Vault depolar ve bu tür her hizmet için bekleyen veri şifrelemesini kullanır.