Standardy zabezpečení pro Azure IoT Edge

Platí na: IoT Edge 1.6

Důležité

IoT Edge 1.6 LTS je podporovaná verze. Podpora IoT Edge 1.5 LTS končí 10. listopadu 2026; IoT Edge 1.4 LTS dosáhl konce životnosti 12. listopadu 2024. Pokud používáte starší verzi, přečtěte si téma Update IoT Edge.

Azure IoT Edge řeší rizika spojená s přesunem vašich dat a analýz na inteligentní okraj. Standardy zabezpečení IoT Edge vyvažují flexibilitu pro různé scénáře nasazení se zabezpečením, které zákazníci očekávají od služeb Azure.

IoT Edge běží na různých modelech a modelech hardwaru, podporuje několik operačních systémů a vztahuje se na různé scénáře nasazení. Místo toho, aby nabízela konkrétní řešení pro konkrétní scénáře, IoT Edge je rozšiřitelná architektura zabezpečení založená na dobře založených principech navržených pro škálování. Riziko scénáře nasazení závisí na mnoha faktorech, mezi které patří:

• Vlastnictví řešení
• Zeměpisná oblast nasazení
• Citlivost dat
• Ochrana osobních údajů
• Svislá aplikace
• Zákonné požadavky

Tento článek obsahuje přehled architektury zabezpečení IoT Edge. Další informace najdete v tématu Zabezpečení inteligentního okraje.

Standardy

Normy usnadňují kontrolu a provádění, což jsou znaky zabezpečení. Řešení zabezpečení musí být snadné na vyhodnocení důvěry a nesmí bránit nasazení. Architektura pro zabezpečení Azure IoT Edge používá osvědčené protokoly zabezpečení pro znalost a opakované použití.

Ověřování

Když nasadíte řešení IoT, potřebujete vědět, že k vašemu řešení mají přístup jenom důvěryhodní aktéři, zařízení a moduly. Ověřování na základě certifikátů je primárním mechanismem ověřování pro platformu Azure IoT Edge. Tento mechanismus je odvozen ze sady standardů, které řídí infrastrukturu veřejných klíčů (PKiX) pomocí IETF (Internet Engineering Task Force).

Všechna zařízení, moduly a aktéři, kteří komunikují s Azure IoT Edge zařízení, by měla mít jedinečné identity certifikátů. Tyto pokyny platí bez ohledu na to, jestli jsou interakce fyzické, nebo prostřednictvím síťového připojení. Ne každý scénář nebo komponenta se může použít k ověřování na základě certifikátů, takže rozšiřitelnost architektury zabezpečení poskytuje zabezpečené alternativy.

Další informace najdete v tématu Azure IoT Edge využití certifikátů.

Autorizace

Princip nejnižších oprávnění říká, že uživatelé a komponenty systému by měli mít přístup pouze k minimální sadě prostředků a dat potřebných k provádění jejich rolí. Zařízení, moduly a aktéři by měli přistupovat jenom k prostředkům a datům v rámci jejich oboru oprávnění a pouze v případě, že je to povoleno na architektuře. Některá oprávnění se dají konfigurovat s dostatečnými oprávněními, zatímco jiná se vynucují architekturálně. Některé moduly mohou být například autorizované pro připojení k Azure IoT Hub. Není ale důvod, proč by měl modul v jednom IoT Edge zařízení přistupovat k dvojčeti modulu v jiném IoT Edge zařízení.

Mezi jiná schémata autorizace patří práva podepisování certifikátu a řízení přístupu na základě rolí (RBAC).

Osvědčení

Ověření identity zajišťuje integritu softwarových bitů, což je důležité pro detekci a prevenci malwaru. Rozhraní zabezpečení Azure IoT Edge klasifikuje ověření identity do tří hlavních kategorií:

• Statické osvědčení
• Ověření za běhu
• Ověření identity softwaru

Statické osvědčení

Statické ověření ověřuje integritu veškerého softwaru na zařízení během spouštění, včetně operačního systému, všech prostředí runtime a informací o konfiguraci. Vzhledem k tomu, že během napájení dochází ke statickému ověření identity, často se označuje jako zabezpečené spouštění. Architektura zabezpečení pro zařízení IoT Edge se rozšiřuje na výrobce a zahrnuje zabezpečené hardwarové funkce, které zajišťují statické procesy ověření identity. Mezi tyto procesy patří zabezpečené spouštění a zabezpečený upgrade firmwaru. Spolupráce s dodavateli čipů eliminuje nepotřebné vrstvy firmwaru a minimalizuje plochu hrozeb.

Ověření za běhu

Jakmile systém dokončí zabezpečený proces spouštění, dobře navržené systémy by měly detekovat pokusy o vložení malwaru a provést správné protiopatření. Útoky na malware můžou cílit na porty a rozhraní systému. Pokud mají aktéři se zlými úmysly fyzický přístup k zařízení, mohou manipulovat se samotným zařízením nebo k získání přístupu použít útoky na straně kanálu. Takový škodlivý obsah, ať už malware nebo neautorizované změny konfigurace, nelze zjistit pomocí statického dokazování, protože se vkládá po spuštění systému. Protichůdná opatření založená na hardwaru pomáhají předcházet takovým hrozbám. Architektura zabezpečení pro IoT Edge explicitně vyzývá rozšíření, která chrání proti hrozbám za běhu.

Ověření identity softwaru

Všechny zdravé systémy, včetně inteligentních hraničních systémů, potřebují opravy a upgrady. Zabezpečení je důležité pro aktualizační procesy, jinak mohou být potenciálními vektory hrozeb. Architektura zabezpečení IoT Edge vyžaduje aktualizace prostřednictvím měřených a podepsaných balíčků, aby se zajistila integrita balíčku a ověřila jejich zdroj. Tento standard platí pro všechny operační systémy a bity aplikačního softwaru.

Kořen důvěryhodnosti hardwaru

U mnoha inteligentních hraničních zařízení, zejména zařízení, ke kterým mohou fyzicky přistupovat potenciální aktéři se zlými úmysly, je zabezpečení hardwaru poslední obranou pro ochranu. Pro taková nasazení je zásadní hardware odolný proti neoprávněné manipulaci. Azure IoT Edge podporuje zabezpečené dodavatele hardwaru silicon, aby nabízeli různé varianty důvěryhodnosti hardwaru, aby vyhověli různým profilům rizik a scénářům nasazení. Důvěryhodnost hardwaru může pocházet z běžných standardů protokolu zabezpečení, jako jsou Trusted Platform Module (ISO/IEC 11889) a modul DICE (Device Identifier Composition Engine) skupiny Trusted Computing Group. Bezpečnostní technologie enkláv, jako jsou TrustZones a Software Guard Extensions (SGX), také poskytují hardwarovou důvěryhodnost.

Certifikace

Aby zákazníci mohli činit informovaná rozhodnutí při nákupu Azure IoT Edge zařízení pro jejich nasazení, zahrnuje IoT Edge architektura požadavky na certifikaci. Základem těchto požadavků jsou certifikace týkající se deklarací zabezpečení a certifikací týkajících se ověřování implementace zabezpečení. Certifikace bezpečnostního prohlášení například znamená, že zařízení IoT Edge používá zabezpečený hardware, který je známý svou odolností proti útokům na proces spouštění. Ověření certifikace znamená, že zabezpečený hardware byl správně implementován, aby nabízel tuto hodnotu v zařízení. Rámec udržuje minimální zátěž certifikace, aby byla v souladu se zásadou jednoduchosti.

Šifrování dat v klidu

Šifrování dat v klidu poskytuje ochranu pro uložená data. Útoky na neaktivní uložená data zahrnují pokusy o fyzický přístup k hardwaru, ve kterém jsou uložená data, a pak ohrozit obsažená data. Šifrování úložiště můžete použít k ochraně dat uložených v zařízení. Linux nabízí několik možností šifrování neaktivních uložených dat. Zvolte možnost, která nejlépe vyhovuje vašim potřebám. Pro Windows se pro šifrování neaktivních uložených dat doporučuje Windows BitLocker.

Rozšiřitelnost

Díky technologii IoT, která řídí různé typy obchodních transformací, by se zabezpečení mělo vyvíjet paralelně, aby bylo možné řešit nově vznikající scénáře. Architektura zabezpečení Azure IoT Edge začíná pevným základem a vytváří rozšiřitelnost do různých dimenzí, mezi které patří:

• Služby zabezpečení první strany, jako je služba Device Provisioning pro Azure IoT Hub.
• Služby třetích stran, jako jsou spravované služby zabezpečení pro různé vertikální aplikace (například průmyslové nebo zdravotnické) nebo technologické zaměření (například monitorování zabezpečení v meshových sítích nebo služby ověřování hardwaru silikonu) prostřednictvím rozsáhlé partnerské sítě.
• Starší systémy, včetně dovybavení alternativních strategií zabezpečení, jako je použití jiných zabezpečených technologií než certifikátů pro ověřování a správu identit
• Zabezpečený hardware pro přijetí nově vznikajících zabezpečených hardwarových technologií a příspěvků partnerů silicon.

Zabezpečení inteligentního okraje vyžaduje spolupráci otevřené komunity, která je spojena společným zájmem o zabezpečení IoT. Tyto příspěvky můžou být ve formě zabezpečených technologií nebo služeb. Architektura zabezpečení Azure IoT Edge nabízí solidní základ zabezpečení, který je rozšiřitelný pro maximální pokrytí, aby nabízel stejnou úroveň důvěryhodnosti a integrity v inteligentní hraničních zařízeních jako u Azure cloudu.

Další kroky

Přečtěte si další informace o tom, jak Azure IoT Edge zabezpečuje inteligentní edge.