مدير أمان Azure IoT Edge

ينطبق على:نعم أيقونة IoT Edge 1.1 الإصدارات الأخرى:IoT Edge 1.3، IoT Edge 1.4

ينطبق على:IoT Edge 1.3 علامة اختيار IoT Edge 1.3 IoT Edge 1.4 علامة اختيار IoT Edge 1.4 الإصدارات الأخرى:IoT Edge 1.1

يعد مدير أمان Azure IoT Edge بمثابة نواة أمان محددة جيدا لحماية جهاز IoT Edge وجميع مكوناته من خلال تجريد أجهزة السيليكون الآمنة. مدير الأمان هو النقطة المحورية لتقوية الأمان ويوفر نقطة تكامل التكنولوجيا لمصنعي المعدات الأصلية (OEM).

يقوم مدير الأمان بتجريد أجهزة السيليكون الآمنة على جهاز IoT Edge.

مدير أمان Azure IoT Edge

يقوم مدير الأمان بتجريد أجهزة السيليكون الآمنة على جهاز IoT Edge ويوفر إطار عمل للتوسعة لخدمات الأمان الإضافية.

يهدف مدير أمان IoT Edge إلى الدفاع عن سلامة جهاز IoT Edge وجميع عمليات البرامج المتأصلة. إدارة الأمان الانتقالات الثقة من الجذر الأساسي للجهاز الثقة (إذا كان متوفرا) إلى نظام تمهيد تشغيل الكمبيوتر وقت التشغيل IoT Edge ومراقبة العمليات الجارية. مدير أمن IoT Edge هو برنامج يعمل جنبا إلى جنب مع أجهزة السيليكون الآمنة (حيثما كان ذلك متاحا) للمساعدة في تقديم أعلى ضمانات الأمان الممكنة.

بالإضافة إلى ذلك، يوفر مدير أمان IoT Edge إطار عمل آمنا لملحقات خدمة الأمان من خلال وحدات نمطية على مستوى المضيف. تتضمن هذه الخدمات مراقبة الأمان والتحديثات التي تتطلب وكلاء داخل الجهاز مع وصول متميز إلى بعض مكونات الجهاز. يضمن إطار القابلية للتوسعة أن تدعم عمليات التكامل هذه أمان النظام العام باستمرار.

تتضمن مسؤوليات مدير أمان IoT Edge على سبيل المثال لا الحصر:

  • تمهيد جهاز Azure IoT Edge.
  • التحكم في الوصول إلى جذر الثقة في أجهزة الجهاز من خلال خدمات كاتب العدل.
  • مراقبة تكامل البيانات وعمليات IoT Edge في وقت التشغيل.
  • يتلقى تفويض الثقة من وحدة أمان الأجهزة (HSM)
  • توفير هوية الجهاز وإدارة انتقال الثقة عند الاقتضاء.
  • استضافة مكونات الجهاز من الخدمات السحابية وحمايتها مثل خدمة تزويد الأجهزة.
  • توفير وحدات IoT Edge مع هويات فريدة.
  • تمهيد جهاز Azure IoT Edge.
  • التحكم في الوصول إلى جذر الثقة في أجهزة الجهاز من خلال خدمات كاتب العدل.
  • مراقبة تكامل البيانات وعمليات IoT Edge في وقت التشغيل.
  • توفير هوية الجهاز وإدارة انتقال الثقة عند الاقتضاء.
  • تأكد من التشغيل الآمن لوكلاء العميل للخدمات بما في ذلك Device Update ل IoT Hub Microsoft Defender ل IoT.

يتكون مدير أمان IoT Edge من ثلاثة مكونات:

  • برنامج الأمان الخفي لـIoT Edge
  • طبقة تجريد النظام الأساسي لوحدة أمان الأجهزة (HSM PAL)
  • جذر سيليكون الأجهزة للثقة أو HSM (اختياري، ولكن يوصى به بشدة)
  • وقت تشغيل وحدة IoT Edge
  • تجريدات وحدة أمان الأجهزة (HSM) من خلال عمليات التنفيذ القياسية مثل PKCS#11 و Trusted Platform Module (TPM)
  • جذر سيليكون الأجهزة للثقة أو HSM (اختياري، ولكن يوصى به بشدة)

التغييرات في الإصدار 1.2 والإصدارات الأحدث

في الإصدارين 1.0 و1.1 من IoT Edge، كان مكون يسمى البرنامج الخفي للأمان مسؤولا عن عمليات الأمان المنطقية لمدير الأمان. في التحديث إلى الإصدار 1.2، تم تفويض العديد من المسؤوليات الرئيسية إلى النظام الفرعي لأمان Azure IoT Identity Service . بمجرد إزالة هذه المهام المستندة إلى الأمان من البرنامج الخفي للأمان، لم يعد اسمه منطقيا. لعكس العمل الذي يقوم به هذا المكون بشكل أفضل في الإصدار 1.2 وما بعده، قمنا بإعادة تسميته إلى وقت تشغيل الوحدة النمطية.

برنامج الأمان الخفي لـIoT Edge

البرنامج الخفي لأمان IoT Edge مسؤول عن عمليات الأمان المنطقية لمدير الأمان. وهو يمثل جزءا كبيرا من قاعدة الحوسبة الموثوق بها لجهاز IoT Edge.

وقت تشغيل وحدة IoT Edge

يفوض وقت تشغيل وحدة IoT Edge الثقة من النظام الفرعي لأمان Azure IoT Identity Service لحماية بيئة وقت تشغيل حاوية IoT Edge. إحدى الخدمات، المفوضة الآن إلى Azure IoT Identity Service، هي خدمة تسجيل الشهادة وتجديدها تلقائيا من خلال خادم EST. لمعرفة كيفية عمل هذا وإنشاء نموذج خادم EST تم إنشاؤه لجهاز IoT Edge، جرب البرنامج التعليمي تكوين التسجيل عبر خادم النقل الآمن ل Azure IoT Edge .

وقت تشغيل الوحدة النمطية مسؤول عن عمليات الأمان المنطقية لمدير الأمان. وهو يمثل جزءا كبيرا من قاعدة الحوسبة الموثوق بها لجهاز IoT Edge. يستخدم وقت تشغيل الوحدة خدمات الأمان من IoT Identity Service، والتي بدورها يتم تقويةها من خلال اختيار الشركة المصنعة للجهاز لوحدة أمان الأجهزة (HSM). نوصي بشدة باستخدام HSMs لتقوية الجهاز.

مبادئ التصميم

يتبع IoT Edge مبدأين أساسيين: زيادة التكامل التشغيلي إلى أقصى حد، وتقليل الطفح والزحام.

تكبير تكامل البيانات إلى أقصى حد

يعمل برنامج أمان IoT Edge بأعلى مستوى ممكن من تكامل البيانات ضمن القدرة الدفاعية لأي جذر معين من أجهزة الثقة. مع التكامل السليم، وجذر الأجهزة الثقة التدابير ويراقب الخفي الأمن بشكل ثابت وفي وقت التشغيل لمقاومة العبث بالبيانات.

يعمل وقت تشغيل وحدة IoT Edge بأعلى تكامل ممكن ضمن القدرة الدفاعية لأي جذر معين من أجهزة الثقة. مع التكامل السليم، وجذر الأجهزة الثقة التدابير ويراقب الخفي الأمن بشكل ثابت وفي وقت التشغيل لمقاومة العبث بالبيانات.

يعد الوصول المادي الضار إلى الأجهزة دائما تهديدا في IoT. يلعب جذر الثقة في الأجهزة دورا مهما في الدفاع عن سلامة جهاز IoT Edge. الجذر الخاصة بالأجهزة من الثقة تأتي في نوعين:

  • العناصر الآمنة الخاصة بحماية المعلومات الحساسة مثل الأسرار ومفاتيح التشفير.
  • تأمين الجيوب لحماية البيانات السرية مثل المفاتيح وأحمال العمل الحساسة مثل نماذج التعلم الآلي السرية وعمليات القياس.

يوجد نوعان من بيئات التنفيذ لاستخدام جذر الثقة الخاصة بالأجهزة:

  • بيئة التنفيذ القياسي أو الغنية (REE) التي تعتمد على استخدام عناصر آمنة خاصة لحماية المعلومات الحساسة.
  • بيئة التنفيذ الموثوق بها (TEE) التي تعتمد على استخدام تقنية الجيب الآمنة الخاصة بحماية المعلومات الحساسة وتوفير الحماية لتنفيذ البرامج.

بالنسبة للأجهزة التي تستخدم الجيوب الآمنة كجذر للثقة في الأجهزة، يجب أن يكون المنطق الحساس داخل البرنامج الخفي لأمان IoT Edge داخل الجيب. يمكن أن تكون الأجزاء غير الحساسة الخاصة بالخفي الأمان خارج TEE. في جميع الحالات، نوصي بشدة بأن تقوم الشركات المصنعة للتصميم الأصلي (ODM) والشركات المصنعة للمعدات الأصلية (OEM) بتوسيع الثقة من HSM لقياس والدفاع عن سلامة البرنامج الخفي لأمان IoT Edge في التمهيد ووقت التشغيل.

بالنسبة للأجهزة التي تستخدم الجيوب الآمنة كجذر للثقة في الأجهزة، يجب أن يكون المنطق الحساس داخل وقت تشغيل وحدة IoT Edge داخل الجيب. يمكن أن تكون الأجزاء غير الحساسة من وقت تشغيل الوحدة النمطية خارج TEE. في جميع الحالات، نوصي بشدة بأن تقوم الشركات المصنعة للتصميم الأصلي (ODM) والشركات المصنعة للمعدات الأصلية (OEM) بتوسيع الثقة من HSM لقياس والدفاع عن سلامة وقت تشغيل وحدة IoT Edge عند التمهيد ووقت التشغيل.

تصغير الانتفاخ والتموج

مبدأ الذاكرة الأساسية آخر daemon أمن IoT Edge هو تصغير التشويش. للحصول على أعلى مستوى من الثقة، يمكن أن يكون برنامج أمان IoT Edge ثنائيا بإحكام مع جذر الثقة في جهاز الجهاز ويعمل تعليمة برمجية أصلية. في هذه الحالات، من الشائع تحديث برنامج IoT Edge من خلال جذر الأجهزة لمسارات التحديث الآمنة للثقة بدلا من آليات تحديث نظام التشغيل، والتي يمكن أن تكون صعبة. يوصى بتجديد الأمان لأجهزة IoT، ولكن يمكن لمتطلبات التحديث المفرطة أو حمولات التحديث الكبيرة توسيع سطح التهديد بعدة طرق. على سبيل المثال، قد تميل إلى تخطي بعض التحديثات من أجل زيادة توفر الجهاز إلى أقصى حد. على هذا النحو، يعد تصميم البرنامج الخفي لأمان IoT Edge موجزا للحفاظ على قاعدة الحوسبة الموثوق بها المعزولة جيدا صغيرة لتشجيع التحديثات المتكررة.

مبدأ أساسي آخر لوقت تشغيل وحدة IoT Edge هو تقليل الزحام. للحصول على أعلى مستوى من الثقة، يمكن أن يقترن وقت تشغيل وحدة IoT Edge بإحكام مع جذر الثقة في أجهزة الجهاز ويعمل كتعلم برمجي أصلي. في هذه الحالات، من الشائع تحديث برنامج IoT Edge من خلال جذر الأجهزة لمسارات التحديث الآمنة للثقة بدلا من آليات تحديث نظام التشغيل، والتي يمكن أن تكون صعبة. يوصى بتجديد الأمان لأجهزة IoT، ولكن يمكن لمتطلبات التحديث المفرطة أو حمولات التحديث الكبيرة توسيع سطح التهديد بعدة طرق. على سبيل المثال، قد تميل إلى تخطي بعض التحديثات من أجل زيادة توفر الجهاز إلى أقصى حد. على هذا النحو، تصميم وقت تشغيل وحدة IoT Edge موجز للحفاظ على قاعدة الحوسبة الموثوق بها المعزولة جيدا صغيرة لتشجيع التحديثات المتكررة.

بناء الأنظمة

يستفيد برنامج الأمانIoT Edge من أي جذر الأجهزة المتوفرة لتكنولوجيا الثقة من أجل تصلب الأمان. كما يتيح للعملية في العالم المنقسم بين بيئة تنفيذ قياسية/غنية (REE) وبيئة تنفيذ موثوق بها (TEE) عندما توفر تقنيات الأجهزة بيئات تنفيذ موثوق بها. تمكن الواجهات الخاصة بالدور المكونات الرئيسية لـ IoT Edge من ضمان تكامل البيانات جهاز IoT Edge وعملياته.

بنية البرنامج الخفي لأمان Azure IoT Edge

يستفيد وقت تشغيل وحدة IoT Edge من أي جذر أجهزة متاح لتكنولوجيا الثقة لتقوية الأمان. كما يتيح للعملية في العالم المنقسم بين بيئة تنفيذ قياسية/غنية (REE) وبيئة تنفيذ موثوق بها (TEE) عندما توفر تقنيات الأجهزة بيئات تنفيذ موثوق بها. تمكن الواجهات الخاصة بالدور المكونات الرئيسية لـ IoT Edge من ضمان تكامل البيانات جهاز IoT Edge وعملياته.

بنية وقت تشغيل وحدة Azure IoT Edge

الواجهة الخاصة بالسحابة

تتيح واجهة السحابة الوصول إلى الخدمات السحابية التي تكمل أمان الجهاز. على سبيل المثال، تسمح هذه الواجهة بالوصول إلى خدمة توفير الجهاز لإدارة دورة حياة هوية الجهاز.

واجهة برمجة تطبيقات الإدارة

يتم استدعاء واجهة برمجة تطبيقات الإدارة بواسطة عامل IoT Edge عند إنشاء/بدء/إيقاف/إزالة وحدة IoT Edge. يخزن البرنامج الخفي للأمان "التسجيلات" لجميع الوحدات النمطية النشطة. تعين هذه التسجيلات هوية الوحدة النمطية إلى بعض خصائص الوحدة النمطية. على سبيل المثال، تتضمن خصائص الوحدة النمطية هذه معرف العملية (pid) للعملية التي تعمل في الحاوية وتجزئة محتويات حاوية docker.

يتم استخدام هذه الخصائص بواسطة واجهة برمجة تطبيقات حمل العمل (الموضحة أدناه) للتحقق من أن المتصل مصرح به لإجراء ما.

إدارة API مميزة، لا يمكن الاتصال بها إلا من خلال عامل IoT Edge. نظرا لأن البرنامج الخفي لأمان IoT Edge يبدأ تشغيل عامل IoT Edge، فإنه يتحقق من أن عامل IoT Edge لم يتم العبث به، ثم يمكنه إنشاء تسجيل ضمني لعامل IoT Edge. تعمل عملية التصديق نفسها التي تستخدمها API حمل العمل أيضًا على تقييد الوصول إلى API الإدارة لعامل IoT Edge فقط.

يتم استدعاء واجهة برمجة تطبيقات الإدارة بواسطة عامل IoT Edge عند إنشاء/بدء/إيقاف/إزالة وحدة IoT Edge. يخزن وقت تشغيل الوحدة النمطية "التسجيلات" لجميع الوحدات النمطية النشطة. تعين هذه التسجيلات هوية الوحدة النمطية إلى بعض خصائص الوحدة النمطية. على سبيل المثال، تتضمن خصائص الوحدة النمطية هذه معرف العملية (pid) للعملية التي تعمل في الحاوية وتجزئة محتويات حاوية docker.

يتم استخدام هذه الخصائص بواسطة واجهة برمجة تطبيقات حمل العمل (الموضحة أدناه) للتحقق من أن المتصل مصرح به لإجراء ما.

إدارة API مميزة، لا يمكن الاتصال بها إلا من خلال عامل IoT Edge. نظرا لأن وقت تشغيل وحدة IoT Edge يقوم بتشغيل عامل IoT Edge وبدء تشغيله، فإنه يتحقق من أن عامل IoT Edge لم يتم العبث به، ثم يمكنه إنشاء تسجيل ضمني لعامل IoT Edge. تعمل عملية التصديق نفسها التي تستخدمها API حمل العمل أيضًا على تقييد الوصول إلى API الإدارة لعامل IoT Edge فقط.

واجهة برمجة التطبيقات الخاصة بالحاوية

تتفاعل واجهة برمجة التطبيقات الحاوية مع نظام الحاويات المستخدم لإدارة الوحدة النمطية، مثل Moby أو Docker.

واجهة برمجة تطبيقات الخاصة بحمل العمل

واجهة برمجة تطبيقات حمل العمل متاحة للوصول لجميع الوحدات النمطية. وهو يوفر إثبات الهوية، إما كرمز مميز موقع متجذر HSM أو شهادة X509، وحزمة الثقة المقابلة لوحدة نمطية. تحتوي حزمة الثقة على شهادات CA لكافة الخوادم الأخرى التي يجب أن تثق الوحدات النمطية.

يستخدم البرنامج الخفي أمانIoT Edge عملية الإثبات لحراسة واجهة برمجة التطبيقات هذه. عندما استدعاء وحدة نمطية API هذا، يحاول الخفي الأمان الكشف على تسجيل للهوية. إذا نجحت، فإنه يستخدم خصائص التسجيل لقياس الخاصة بالوحدة النمطية. إذا تطابقت نتيجة عملية القياس مع عملية التسجيل، يتم إنشاء إثبات هوية جديد. يتم إرجاع الشهادات الخاصة بالمرجع المصدق (حزمة الثقة) المطابقة إلى الوحدة النمطية. الوحدة النمطية يستخدم هذه الشهادة للاتصال بمركز IoT أو الوحدات النمطية الأخرى أو بدء تشغيل الخادم. عندما يقترب الرمز المميز الموقع أو الشهادة من انتهاء الصلاحية، تقع المسؤولية الخاصة بالوحدة النمطية على طلب شهادة جديدة.

يستخدم وقت تشغيل وحدة IoT Edge عملية إثبات لحماية واجهة برمجة التطبيقات هذه. عندما تستدعي وحدة نمطية واجهة برمجة التطبيقات هذه، يحاول وقت تشغيل الوحدة العثور على تسجيل للهوية. إذا نجحت، فإنه يستخدم خصائص التسجيل لقياس الخاصة بالوحدة النمطية. إذا تطابقت نتيجة عملية القياس مع عملية التسجيل، يتم إنشاء إثبات هوية جديد. يتم إرجاع الشهادات الخاصة بالمرجع المصدق (حزمة الثقة) المطابقة إلى الوحدة النمطية. الوحدة النمطية يستخدم هذه الشهادة للاتصال بمركز IoT أو الوحدات النمطية الأخرى أو بدء تشغيل الخادم. عندما يقترب الرمز المميز الموقع أو الشهادة من انتهاء الصلاحية، تقع المسؤولية الخاصة بالوحدة النمطية على طلب شهادة جديدة.

عملية التكامل والصيانة

يحتفظ Microsoft بقاعدة التعليمات البرمجية الرئيسية لبرنامج أمان IoT Edge الخفي على GitHub.

يحتفظ Microsoft بقاعدة التعليمات البرمجية الرئيسية لوقت تشغيل وحدة IoT Edgeوخدمة هوية Azure IoT على GitHub.

عند قراءة قاعدة التعليمات البرمجية ل IoT Edge، تذكر أن وقت تشغيل الوحدة النمطية تطور من البرنامج الخفي للأمان. قد لا تزال قاعدة التعليمات البرمجية تحتوي على مراجع إلى البرنامج الخفي للأمان.

عملية التثبيت والتحديثات

تتم إدارة التثبيت والتحديثات الخاصة بجهاز الأمانIoT Edge من خلال نظام إدارة الحزمة في نظام التشغيل. يجب أن توفر أجهزة IoT Edge ذات جذر الثقة في الأجهزة تقوية إضافية لسلامة البرنامج الخفي من خلال إدارة دورة حياتها من خلال أنظمة إدارة التمهيد والتحديثات الآمنة. يجب على صانعي الأجهزة استكشاف هذه السبل استنادا إلى القدرات الخاصة بالجهاز الخاصة بهم.

تتم إدارة تثبيت وتحديثات وقت تشغيل وحدة IoT Edge من خلال نظام إدارة الحزم لنظام التشغيل. يجب أن توفر أجهزة IoT Edge ذات جذر الثقة في الأجهزة تقوية إضافية لسلامة وقت تشغيل الوحدة النمطية من خلال إدارة دورة حياتها من خلال أنظمة إدارة التمهيد والتحديثات الآمنة. يجب على صانعي الأجهزة استكشاف هذه السبل استنادا إلى القدرات الخاصة بالجهاز الخاصة بهم.

تعيين الإصدار

وقت التشغيلIoT Edge المسارات والتقارير إصدار منIoT Edge الخاص بالأمن الخفي. يتم الإبلاغ عن الإصدار كسمة runtime.platform.version لوحدة عامل IoT Edge التي تم الإبلاغ عنها.

يتعقب وقت تشغيل IoT Edge إصدار وقت تشغيل الوحدة النمطية IoT Edge ويبلغه. يتم الإبلاغ عن الإصدار كسمة runtime.platform.version لوحدة عامل IoT Edge التي تم الإبلاغ عنها.

الوحدة النمطية لأمان الأجهزة

طبقة تجريد النظام الأساسي لوحدة أمان الأجهزة (HSM PAL) تجريد جميع جذر أجهزة الثقة لعزل مطور أو مستخدم IoT Edge عن تعقيداتها. وهو يحتوي مزيجا من واجهة برمجة التطبيقات (API) وإجراءات الاتصال عبر المجال، على سبيل المثال الاتصال بين بيئة التنفيذ القياسية وجيب آمن. يعتمد التنفيذ الفعلي الخاص بـ HSM PAL على الأجهزة الآمنة المحددة المستخدمة. وجودها يتيح تشغيل أي أجهزة السيليكون آمنة تقريبا.

ينفذ مدير أمان IoT Edge معايير واجهة الوحدة النمطية للنظام الأساسي الموثوق به ومعايير واجهة PKCS#11 لدمج وحدات أمان الأجهزة (HSMs). مع هذه المعايير، يمكن دمج أي HSM تقريبا، بما في ذلك تلك التي لها واجهات خاصة. نوصي بشدة باستخدام HSMs لتقوية الأمان.

عملية تأمين جذر السيليكون من أجهزة الثقة

السيليكون الآمن ضروري ارتساء الثقة داخل جهاز IoT Edge. السيليكون آمنة تأتي في مجموعة متنوعة لتشمل وحدة نمطية للنظام الأساسي موثوق بها، كجزء لا يتجزأ من عنصر آمن، الذراع TrustZone وإنتل SGX وتقنيات السيليكون آمنة مخصصة. يوصى باستخدام جذر السيليكون الآمن للثقة في الأجهزة نظرا للتهديدات المرتبطة إمكانية وصول ذوي الاحتياجات الخاصة لأجهزة IoT.

يهدف مدير أمان IoT Edge إلى تحديد وعزل المكونات التي تدافع عن أمان تكامل البيانات النظام الأساسي لـAzure IoT Edge للتصلب المخصص. يتعين على الجهات الخارجية، مثل صانعي الأجهزة، الاستفادة من ميزات الأمان المخصصة المتاحة مع أجهزة أجهزتهم.

تعرف على كيفية تقوية مدير أمان Azure IoT باستخدام الوحدة النمطية للنظام الأساسي الموثوق به (TPM) باستخدام البرامج أو أجهزة TPM الظاهرية:

إنشاء وتوفير جهاز IoT Edge مع TPM ظاهري على Linux أو Linux على Windows.

الخطوات التالية

لمعرفة المزيد حول تأمين أجهزة IoT Edge، اقرأ منشورات المدونة التالية: