Co je Azure Sphere?
Azure Sphere je zabezpečená aplikační platforma vysoké úrovně s integrovanými komunikačními a bezpečnostními funkcemi pro zařízení připojená k internetu. Skládá se ze zabezpečené, připojené, křížové jednotky mikrořadiče (MCU), vlastního linuxového operačního systému vysoké úrovně a cloudové služby zabezpečení, která poskytuje nepřetržité obnovitelné zabezpečení.
McU Azure Sphere integruje možnosti zpracování v reálném čase se schopností spouštět operační systém vysoké úrovně. McU Azure Sphere společně s operačním systémem a platformou aplikací umožňuje vytvářet zabezpečená zařízení připojená k internetu, která je možné aktualizovat, řídit, monitorovat a udržovat vzdáleně. Připojené zařízení, které zahrnuje MCU Azure Sphere, společně se stávajícími MCU nebo místo ní, poskytuje lepší zabezpečení, produktivitu a příležitosti. Příklad:
- Zabezpečené aplikační prostředí, ověřená připojení a výslovný souhlas s používáním periferních zařízení minimalizují bezpečnostní rizika způsobená mimo jiné falšováním identity, podvodný software nebo útoky na odepření služby.
- Aktualizace softwaru je možné automaticky nasadit z cloudu do libovolného připojeného zařízení, aby se vyřešily problémy, poskytly nové funkce nebo se zabránily nově vznikajícím metodám útoku, čímž se zvýší produktivita pracovníků podpory.
- Data o využití produktů je možné hlásit do cloudu přes zabezpečené připojení, což pomáhá při diagnostice problémů a navrhování nových produktů, čímž se zvyšuje příležitost k poskytování služeb produktů, pozitivním interakcím se zákazníky a budoucímu vývoji.
Služba zabezpečení Azure Sphere je nedílnou součástí Azure Sphere. Pomocí této služby se mcu Azure Sphere bezpečně a bezpečně připojují ke cloudu a webu. Služba zajišťuje, že se zařízení spouští pouze s autorizovanou verzí originálního schváleného softwaru. Kromě toho poskytuje zabezpečený kanál, přes který může Microsoft automaticky stahovat a instalovat aktualizace operačního systému na nasazená zařízení v terénu, aby se zmírnily problémy se zabezpečením. Nevyžaduje se zásah výrobce ani koncového uživatele, čímž se uzavře společný bezpečnostní otvor.
Poznámka
Azure Sphere označuje rozhraní založené na PAPI jako Azure Sphere (starší verze) a integrované rozhraní Azure Resource Manager ve verzi Public Preview jako Azure Sphere (integrované).
Ve verzi Public Preview se doporučuje používat Azure Sphere (integrovaná) jenom pro účely vývoje a testování. Osvědčeným postupem je, že v případě použití v produkčním prostředí by se neměl používat produkt Ve verzi Preview. Proto pro případy použití v produkčním prostředí doporučujeme dál používat stávající rozhraní služby zabezpečení Azure Sphere, které se nyní označuje jako Azure Sphere (starší verze), které je i nadále plně podporované a obecně dostupné.
Scénář Azure Sphere
Pokud chcete pochopit, jak Azure Sphere funguje v reálném prostředí, zvažte tento scénář.
Contoso, Ltd., je výrobce bílého zboží, který vkládá mcu Azure Sphere do svých myček nádobí. Myčka dw100 spojuje MCU s několika senzory a aplikací vysoké úrovně, která běží na MCU Azure Sphere. Aplikace komunikuje se službou zabezpečení Azure Sphere a s cloudovými službami společnosti Contoso. Následující diagram znázorňuje tento scénář:
Contoso připojených myček nádobí připojených k síti.
Od levého horního rohu a pohybující se po směru hodinových ručiček:
Microsoft vydává aktualizace pro operační systém Azure Sphere prostřednictvím služby zabezpečení Azure Sphere.
Technická příprava produktů společnosti Contoso vydává aktualizace aplikace DW100 prostřednictvím služby zabezpečení Azure Sphere.
Služba zabezpečení Azure Sphere bezpečně nasadí aktualizovaný operační systém a aplikační software Contoso DW100 do myček na místech koncových uživatelů.
Podpora společnosti Contoso pro myčky nádobí komunikuje se službou Azure Sphere Security Service, aby zjistila, která verze softwaru Azure Sphere a aplikačního softwaru DW100 by měla běžet na každém zařízení koncových uživatelů, a aby zjistila veškerá data hlášení chyb, která byla nahlášena službě. Podpora společnosti Contoso pro myčky také komunikuje s cloudovou službou Contoso kvůli dalším informacím.
Cloudové služby Contoso podporují aplikace pro řešení potíží, analýzu dat a interakci se zákazníky. Cloudové služby společnosti Contoso mohou být hostované v Microsoft Azure, v cloudové službě jiného dodavatele nebo ve vlastním cloudu společnosti Contoso.
Modely Contoso DW100 v umístěních koncových uživatelů stahují aktualizovaný operační systém a aplikační software přes připojení ke službě zabezpečení Azure Sphere. Můžou také komunikovat s aplikací cloudové služby společnosti Contoso a hlásit další data.
Senzory v myčce na nádobí můžou například monitorovat teplotu vody, teplotu sušení a úroveň oplachovadlo a odesílat tato data do cloudových služeb společnosti Contoso, kde aplikace cloudové služby analyzuje potenciální problémy. Pokud se zdá, že teplota sušení je neobvykle horká nebo studená, což může znamenat selhání části, společnost Contoso spustí vzdáleně diagnostiku a upozorní zákazníka, že je potřeba provést opravu. Pokud je myčka v záruce, může aplikace cloudové služby také zajistit, že místní opravna zákazníka má náhradní díl, čímž se sníží počet návštěv údržby a požadavků na inventář. Podobně, pokud je oplachovací prostředek nízký, může myčka na nádobí signalizovat zákazníkovi, aby si koupil další oplachovací prostředek přímo od výrobce.
Veškerá komunikace probíhá přes zabezpečená, ověřená připojení. Pracovníci technické podpory a technické podpory společnosti Contoso můžou vizualizovat data pomocí služby zabezpečení Azure Sphere, funkcí Microsoft Azure nebo aplikace cloudové služby specifické pro Společnost Contoso. Společnost Contoso může také poskytovat webové a mobilní aplikace pro zákazníky, pomocí kterých mohou vlastníci myčky požádat o servis, monitorovat využití prostředků myčky nebo jinak komunikovat se společností.
Pomocí nástrojů pro nasazení Azure Sphere společnost Contoso zacílí každou aktualizaci softwaru aplikace na odpovídající model myčky a služba zabezpečení Azure Sphere distribuuje aktualizace softwaru do správných zařízení. Na myčky nádobí je možné nainstalovat pouze podepsané a ověřené aktualizace softwaru.
Azure Sphere a sedm vlastností vysoce zabezpečených zařízení
Primárním cílem platformy Azure Sphere je poskytovat vysoce hodnotné zabezpečení za nízké náklady, aby se zařízení s mikrořadiči citlivá na ceny mohla bezpečně a spolehlivě připojit k internetu. Vzhledem k tomu, že se hračky, zařízení a další spotřebitelská zařízení připojená k síti stávají běžnou součástí, je zabezpečení velmi důležité. Nejen, že musí být zabezpečený samotný hardware zařízení, musí být zabezpečený i jeho software a cloudová připojení. Selhání zabezpečení kdekoli v provozním prostředí ohrožuje celý produkt a potenciálně cokoli nebo kohokoliv v okolí.
Na základě mnohaletých zkušeností Microsoftu se zabezpečením internetu identifikoval tým Azure Sphere sedm vlastností vysoce zabezpečených zařízení. Platforma Azure Sphere je navržená pro těchto sedm vlastností:
Kořenový adresář důvěryhodnosti založený na hardwaru. Hardwarový kořenový adresář důvěryhodnosti zajišťuje, že zařízení a jeho identitu nelze oddělit, a tím se zabrání padělání zařízení nebo falšování identity. Každý MCU Azure Sphere je identifikován nepamatovatelným kryptografickým klíčem, který je vygenerovaný a chráněný hardwarem zabezpečovacího subsystému Prostey navrženým Microsoftem. Tím se zajistí zabezpečený hardwarový kořen důvěryhodnosti odolný proti neoprávněné manipulaci od výrobce až po koncového uživatele.
Hloubková obrana. Hloubková ochrana poskytuje několik vrstev zabezpečení a tím i několik zmírnění rizik proti každé hrozbě. Každá vrstva softwaru na platformě Azure Sphere ověřuje, že vrstva nad ní je zabezpečená.
Malá důvěryhodná výpočetní základna. Většina softwaru zařízení zůstává mimo důvěryhodnou výpočetní základnu, čímž se snižuje prostor pro útoky. Na důvěryhodné výpočetní základně běží pouze zabezpečené monitorování zabezpečení, modul runtime Pluton a subsystém Pluton, které poskytuje Microsoft.
Dynamické oddíly. Dynamické oddíly omezují dosah každé chyby. McU Azure Sphere obsahují protiopatření procesoru, včetně hardwarových bran firewall, aby se zabránilo narušení zabezpečení v jedné komponentě do dalších komponent. Omezené prostředí modulu runtime v izolovaném prostoru (sandbox) brání aplikacím v poškození zabezpečeného kódu nebo dat.
Ověřování bez hesla. Použití podepsaných certifikátů, které jsou ověřeny nepaforovatelným kryptografickým klíčem, poskytuje mnohem silnější ověřování než hesla. Platforma Azure Sphere vyžaduje podepsání všech softwarových prvků. Komunikace mezi zařízeními a cloudem a zařízením vyžaduje další ověřování, které se dosahuje pomocí certifikátů.
Zasílání zpráv o chybách. Chyby v softwaru nebo hardwaru zařízení jsou typické u nově vznikajících bezpečnostních útoků; chyby, které vedou k selhání zařízení, představují útok na dostupnost služby. Komunikace zařízení-cloud poskytuje včasné upozornění na potenciální chyby. Zařízení Azure Sphere můžou automaticky hlásit provozní data a chyby do cloudového analytického systému a aktualizace a údržbu je možné provádět vzdáleně.
Obnovitelné zabezpečení. Software zařízení se automaticky aktualizuje tak, aby opravil známá ohrožení zabezpečení nebo narušení zabezpečení, což nevyžaduje zásah výrobce produktu ani koncového uživatele. Služba zabezpečení Azure Sphere automaticky aktualizuje operační systém Azure Sphere a vaše aplikace.
Architektura Azure Sphere
Díky spolupráci umožňují hardware, software a služba zabezpečení Azure Sphere jedinečné integrované přístupy k údržbě, řízení a zabezpečení zařízení.
Hardwarová architektura poskytuje základní zabezpečenou výpočetní základnu pro připojená zařízení, která vám umožní soustředit se na svůj produkt.
Softwarová architektura se zabezpečeným vlastním jádrem operačního systému spuštěným na monitoru zabezpečení napsaném Microsoftem podobně umožňuje soustředit své softwarové úsilí na IoT s přidanou hodnotou a na funkce specifické pro zařízení.
Služba zabezpečení Azure Sphere podporuje ověřování, aktualizace softwaru a zasílání zpráv o chybách prostřednictvím zabezpečených kanálů cloud-zařízení a zařízení-cloud. Výsledkem je zabezpečená komunikační infrastruktura, která zajišťuje, že vaše produkty používají nejaktuálnější operační systém Azure Sphere. Diagramy architektury a příklady cloudových architektur najdete v tématu Procházení architektur Azure.
Hardwarová architektura
Azure Sphere crossover MCU se skládá z několika jader na jedné kostky, jak je znázorněno na následujícím obrázku.
Azure Sphere MCU – hardwarová architektura
Každé jádro a jeho přidružený subsystém jsou v jiné důvěryhodné doméně. Kořen důvěryhodnosti se nachází v subsystému zabezpečení Natuština. Každá vrstva architektury předpokládá, že vrstva nad ní může být ohrožena. V rámci každé vrstvy poskytují izolace prostředků a dynamické oddíly další zabezpečení.
Microsoft Pluton security subsystem
Bezpečnostní subsystém Pro platformu Pluton je hardwarovým (v siliconu) zabezpečeným kořenem důvěryhodnosti pro Azure Sphere. Zahrnuje jádro procesoru zabezpečení, kryptografické moduly, generátor náhodných čísel hardwaru, generování veřejného/privátního klíče, asymetrické a symetrické šifrování, podporu ověřování algoritmů digitálního podpisu eliptické křivky (ECDSA) pro zabezpečené spouštění a měřené spouštění v siliconu pro podporu vzdáleného ověření pomocí cloudové služby a také různá protiopatření manipulace, včetně jednotky detekce entropie.
V rámci zabezpečeného procesu spouštění subsystému Pluton spouští různé softwarové komponenty. Poskytuje také služby modulu runtime, zpracovává požadavky z jiných komponent zařízení a spravuje důležité komponenty pro jiné části zařízení.
Základní aplikační jádro na vysoké úrovni
Základní aplikační jádro vysoké úrovně je vybaveno subsystémem ARM Cortex-A, který má plnou jednotku pro správu paměti (MMU). Umožňuje oddělení procesů na základě hardwaru pomocí funkcí zóny důvěryhodnosti a zodpovídá za provoz operačního systému, aplikací a služeb vysoké úrovně. Podporuje dvě operační prostředí: Normal World (NW), které spouští kód v režimu uživatele i v režimu supervize, a Secure World (SW), které spouští pouze Monitorování zabezpečení dodané Microsoftem. Aplikace vysoké úrovně běží v uživatelském režimu NW.
Jádra v reálném čase
Jádra v reálném čase jsou vybavena subsystémem I/O ARM Cortex-M, který může spouštět aplikace podporující real-time jako holý kód nebo operační systém v reálném čase (RTOS). Tyto aplikace můžou mapovat periferie a komunikovat s aplikacemi vysoké úrovně, ale nemají přímý přístup k internetu.
Připojení a komunikace
První mcu Azure Sphere poskytuje rádio 802.11 b/g/n Wi-Fi, které funguje s rychlostí 2,4 GHz i 5 GHz. Aplikace vysoké úrovně můžou konfigurovat, používat a dotazovat subsystém bezdrátové komunikace, ale nemůžou ho přímo naprogramovat. Zařízení Azure Sphere, která jsou správně vybavená, můžou kromě Wi-Fi nebo místo ní komunikovat v síti Ethernet.
Multiplexované vstupně-výstupní operace
Platforma Azure Sphere podporuje celou řadu možností vstupně-výstupních operací, takže můžete nakonfigurovat vložená zařízení tak, aby vyhovovala požadavkům vašeho trhu a produktů. V/V periferní zařízení je možné namapovat buď na jádro aplikace vysoké úrovně, nebo na jádro v reálném čase.
Brány firewall Microsoftu
Hardwarové brány firewall jsou silikonová protiopatření, která poskytují ochranu "sandboxu", aby se zajistilo, že V/V periferie jsou přístupná pouze pro jádro, na které jsou namapována. Brány firewall zavádějí oddělení, což brání bezpečnostní hrozbě lokalizované v jádru aplikací vysoké úrovně, aby ovlivnila přístup jader k jejich periferním zařízením v reálném čase.
Integrovaná paměť RAM a flash
McU Azure Sphere zahrnují minimálně 4 MB integrované paměti RAM a 16 MB integrované flash paměti.
Softwarová architektura a operační systém
Na aplikační platformě vysoké úrovně běží operační systém Azure Sphere spolu s aplikací vysoké úrovně specifickou pro konkrétní zařízení, která může komunikovat jak s internetem, tak s aplikacemi podporujícími v reálném čase, které běží na jádrech v reálném čase. Následující obrázek znázorňuje prvky této platformy.
Prvky dodané Microsoftem se zobrazují šedě.
vysoké úrovně aplikační platformy
Společnost Microsoft poskytuje a udržuje veškerý software kromě aplikací specifických pro vaše zařízení. Veškerý software, který běží na zařízení, včetně aplikace vysoké úrovně, je podepsaný certifikační autoritou (CA) Microsoftu. Aktualizace aplikací se doručují prostřednictvím důvěryhodného kanálu Microsoftu a kompatibilita každé aktualizace s hardwarem zařízení Azure Sphere se ověřuje před instalací.
Modul runtime aplikace
Modul runtime aplikace poskytovaný Microsoftem je založen na podmnožině standardu POSIX. Skládá se z knihoven a běhových služeb, které běží v uživatelském režimu NW. Toto prostředí podporuje aplikace vysoké úrovně, které vytvoříte.
Knihovny aplikací podporují síťové funkce, funkce úložiště a komunikace, které jsou požadovány aplikacemi vysoké úrovně, ale nepodporují přímý obecný vstupně-výstupní přístup k souborům nebo přístup k prostředí, mimo jiné. Tato omezení zajišťují, že platforma zůstane zabezpečená a že Microsoft může poskytovat aktualizace zabezpečení a údržby. Kromě toho omezené knihovny poskytují dlouhodobě stabilní plochu rozhraní API, aby bylo možné aktualizovat systémový software a zvýšit tak zabezpečení a současně zachovat binární kompatibilitu pro aplikace.
Služby operačního systému
Služby operačního systému hostují kontejner aplikací vysoké úrovně a zodpovídají za komunikaci se službou zabezpečení Azure Sphere. Spravují ověřování sítě a bránu firewall sítě pro veškerý odchozí provoz. Během vývoje komunikují služby operačního systému také s připojeným počítačem a laděnou aplikací.
Vlastní jádro Linuxu
Vlastní linuxové jádro běží v režimu supervize spolu se spouštěcím zavaděčem. Jádro je pečlivě vyladěno na využití paměti FLASH a PAMĚTI RAM mcu Azure Sphere. Poskytuje prostor pro předběžné provádění procesů uživatelského prostoru v samostatných virtuálních adresních prostorech. Model ovladačů zpřístupňuje periferie MCU službám a aplikacím operačního systému. Mezi ovladače Azure Sphere patří mimo jiné Wi-Fi (včetně síťového zásobníku TCP/IP), UART, SPI, I2C a GPIO.
Monitorování zabezpečení
Monitorování zabezpečení dodané Microsoftem běží v SW. Zodpovídá za ochranu hardwaru citlivého na zabezpečení, jako je paměť, flash a další sdílené prostředky MCU, a za bezpečné zpřístupnění omezeného přístupu k těmto prostředkům. Security Monitor zprostředkovatelé a brány přístup k subsystému zabezpečení Společnosti Pluton a kořenovému hardwarovému kořeni důvěryhodnosti a funguje jako sledovací pes pro prostředí NW. Spustí zavaděč spouštění, zpřístupňuje služby modulu runtime pro NW a spravuje hardwarové brány firewall a další součásti procesoru, které nejsou pro NW přístupné.
Služba zabezpečení Azure Sphere
Služba zabezpečení Azure Sphere se skládá ze tří komponent: ověřování bez hesla, aktualizace a zasílání zpráv o chybách.
Ověřování bez hesla. Ověřovací komponenta poskytuje vzdálené ověřování a ověřování bez hesla. Služba vzdáleného ověření identity se připojuje prostřednictvím protokolu výzvy a odezvy, který používá funkci měřeného spouštění v subsystému Pluton. Ověřuje nejen, že zařízení bylo spuštěno se správným softwarem, ale se správnou verzí tohoto softwaru.
Po úspěšném ověření identity to převezme ověřovací služba. Ověřovací služba komunikuje přes zabezpečené připojení TLS a vydá certifikát, který zařízení může předložit webové službě, jako je Microsoft Azure nebo privátní cloud společnosti. Webová služba ověří řetěz certifikátů a ověří tak, že zařízení je originální, že jeho software je aktuální a že zdrojem je Microsoft. Zařízení se pak může bezpečně a bezpečně připojit k online službě.
Aktualizace. Služba aktualizací distribuuje automatické aktualizace pro operační systém Azure Sphere a pro aplikace. Aktualizační služba zajišťuje pokračování provozu a umožňuje vzdálenou údržbu a aktualizaci aplikačního softwaru.
Zasílání zpráv o chybách. Služba zasílání zpráv o chybách poskytuje jednoduché hlášení o chybách pro nasazený software. Pokud chcete získat bohatší data, použijte funkce vytváření sestav a analýzy, které jsou součástí předplatného Microsoft Azure.
Všechna data uložená ve službě zabezpečení Azure Sphere jsou ve výchozím nastavení zašifrovaná. Služba zabezpečení ukládá data ve službách Azure Storage, Azure Cosmos DB a Azure Key Vault pomocí implementace šifrování neaktivních uložených dat pro každou takovou službu.