Estándares de seguridad para Azure IoT Edge

Se aplica a: IoT Edge 1.5

Importante

IoT Edge 1.5 LTS es la versión compatible. IoT Edge 1.4 LTS finaliza su ciclo de vida el 12 de noviembre de 2024. Si está usando una versión anterior, consulte Actualización de IoT Edge.

Azure IoT Edge aborda los riesgos inherentes de mover tus datos y tus análisis al borde inteligente. Los estándares de seguridad de IoT Edge equilibran la flexibilidad de los distintos escenarios de implementación con los clientes de protección que esperan de los servicios de Azure.

IoT Edge se ejecuta en varias marcas y modelos de hardware, es compatible con varios sistemas operativos y se puede aplicar a diversos escenarios de implementación. En lugar de ofrecer soluciones concretas para escenarios específicos, IoT Edge es un marco de seguridad extensible basado en principios bien fundamentados diseñados para la escala. El riesgo de un escenario de implementación depende de muchos factores, entre los que se incluyen:

• Propiedad de la solución
• Geografía de implementación
• Confidencialidad de los datos
• Privacidad
• Mercado vertical de aplicaciones
• Requisitos reglamentarios

En este artículo se ofrece información general sobre el marco de seguridad de IoT Edge. Para más información, consulte la entrada de blog Securing the intelligent edge (Protección del perímetro inteligente).

Estándares

Los estándares facilitan el examen y la implementación, que son distintivos de la seguridad. Una solución de seguridad debe ser fácil de evaluar para confiar y no dificultar la implementación. El marco para proteger Azure IoT Edge usa protocolos de seguridad probados para familiarizarse y reutilizarlos.

Autenticación

Al implementar una solución de IoT, tiene que saber que solo los actores, dispositivos y módulos de confianza tienen acceso a la solución. El mecanismo principal de autenticación para la plataforma de Azure IoT Edge es la autenticación basada en certificados. Este mecanismo procede de un conjunto de normas que rigen la infraestructura de clave pública (PKiX) de Internet Engineering Task Force (IETF).

Todos los dispositivos, módulos y actores que interactúan con el dispositivo de Azure IoT Edge deben tener identidades de certificado únicas. Esta guía se aplica tanto si las interacciones son físicas como si se realizan mediante una conexión de red. No todos los escenarios o componentes pueden prestarse a la autenticación basada en certificados, por lo que la extensibilidad del marco de seguridad proporciona alternativas seguras.

Para obtener más información, consulte Información de uso de los certificados de Azure IoT Edge.

Autorización

El principio de privilegios mínimos afirma que los usuarios y componentes de un sistema deben tener acceso solo al conjunto mínimo de recursos y datos necesarios para realizar sus funciones. Los dispositivos, módulos y actores solo deben acceder a los recursos y los datos dentro de su ámbito de permisos y solo cuando se permite la arquitectura. Algunos permisos son configurables con privilegios suficientes, mientras que otros se aplican de forma arquitectónica. Por ejemplo, es posible que algunos módulos requieran autorización para conectarse a Azure IoT Hub. Sin embargo, no hay ninguna razón por la que un módulo de un dispositivo IoT Edge debe acceder al gemelo de un módulo en otro dispositivo IoT Edge.

Otros esquemas de autorización incluyen derechos de firma de certificados y control de acceso basado en rol o RBAC.

Atestación

La atestación garantiza la integridad de los bits de software, que es importante para detectar y evitar el malware. El marco de seguridad de Azure IoT Edge clasifica la atestación en tres categorías principales:

• Atestación estática
• Atestación en tiempo de ejecución
• Atestación de software

Atestación estática

La atestación estática comprueba la integridad de todos los componentes de software de un dispositivo en el arranque, incluido el sistema operativo, todos los entornos en tiempo de ejecución y la información de configuración. Dado que la atestación estática se produce durante el arranque, a menudo se conoce como inicio seguro. El marco de seguridad para los dispositivos de IoT Edge se extiende a los fabricantes e incorpora funcionalidades seguras de hardware para garantizar procesos de atestación estática. Estos procesos incluyen procesos de arranque seguro y de actualización de firmware. La colaboración con proveedores de silicio elimina las capas de firmware innecesarias y minimiza la superficie de amenazas.

Atestación en tiempo de ejecución

Cuando un sistema ha completado un proceso de arranque seguro, los sistemas bien diseñados podrían detectar intentos de insertar malware y tomar las contramedidas apropiadas. Los ataques con malware pueden afectar a los puertos e interfaces del sistema. O también, si actores malintencionados acceden físicamente a un dispositivo, pueden alterar el propio dispositivo o usar ataques de canal lateral para obtener acceso. Este contenido malicioso, ya sea malware o cambios de configuración no autorizados, no se puede detectar mediante atestación estática porque se inserta después del proceso de arranque. Las contramedidas basadas en hardware ayudan a evitar estas amenazas. El marco de seguridad para IoT Edge pide explícitamente extensiones para combatir amenazas en tiempo de ejecución.

Atestación de software

Todos los sistemas en buen estado, incluidos los sistemas de inteligencia perimetral, requieren revisiones y actualizaciones. La seguridad es importante para los procesos de actualización; de lo contrario, pueden ser vectores potenciales de amenazas. El marco de seguridad de IoT Edge requiere actualizaciones a través de paquetes medidos y firmados para garantizar la integridad del paquete y autenticar su origen. Este estándar se aplica a todos los sistemas operativos y componentes de software de la aplicación.

Raíz de confianza del hardware

Para muchos dispositivos de inteligencia perimetral, especialmente aquellos a los que potenciales actores malintencionados podrían tener acceso físico, la seguridad del hardware del dispositivo es la última defensa de protección. Un hardware resistente a alteraciones es fundamental en tales implementaciones. Azure IoT Edge anima a los proveedores de hardware de silicio seguros a ofrecer distintos tipos de raíz de confianza del hardware para dar cabida a varios perfiles de riesgo y escenarios de implementación. La confianza en el hardware puede derivarse de normas de protocolo de seguridad comunes como el módulo de plataforma de confianza (ISO/IEC 11889) y el motor de composición de identificadores de dispositivos (DICE) del Trusted Computing Group. Las tecnologías de enclave seguro como TrustZones y Software Guard Extensions (SGX) también proporcionan confianza de hardware.

Certificación

Para ayudar a los clientes a tomar decisiones informadas cuando adquieren dispositivos de Azure IoT Edge para su implementación, el marco de IoT Edge incluye requisitos de certificación. La base de estos requisitos son las certificaciones relativas a las notificaciones y certificaciones de seguridad relativas a la validación de la implementación de seguridad. Por ejemplo, una certificación de la notificación de seguridad implica que el dispositivo de IoT Edge utiliza hardware seguro conocido por resistir ataques de arranque. Una certificación de validación implica que el hardware seguro se ha implementado correctamente para ofrecer este valor en el dispositivo. El marco mantiene la carga de la certificación mínima para alinearse con el principio de simplicidad.

Cifrado en reposo

El cifrado en reposo proporciona protección de datos para los datos almacenados. Los ataques contra los datos en reposo incluyen intentos de obtener acceso físico al hardware donde se almacenan los datos, y luego poner en peligro los datos contenidos. Puede usar el cifrado de almacenamiento para proteger los datos almacenados en el dispositivo. Linux tiene varias opciones para el cifrado en reposo. Elija la opción que mejor se adapte a sus necesidades. Para Windows, BitLocker de Windows es la opción recomendada para el cifrado en reposo.

Extensibilidad

Con la tecnología IoT que impulsa diferentes tipos de transformaciones de negocio, la seguridad debe evolucionar a la par que los escenarios emergentes. El marco de seguridad de Azure IoT Edge comienza con una base sólida y crea extensibilidad en diferentes dimensiones, entre las que se incluyen:

• Servicios de seguridad de primera entidad, como Device Provisioning Service para Azure IoT Hub.
• Servicios de terceros, como servicios de seguridad administrados para diferentes aplicaciones verticales (como servicios industriales o sanitarios) o enfocados a la tecnología (como la supervisión de seguridad de redes de malla o servicios de atestación de hardware de silicio) a través de una rica red de asociados.
• Sistemas heredados, incluido el reajuste con estrategias de seguridad alternativas, como el uso de tecnología segura que no sea certificados para la autenticación y la administración de identidades.
• Hardware seguro para la adopción sin fisuras de tecnologías de hardware seguro emergentes y contribuciones de asociados de silicio.

La protección del perímetro inteligente requiere contribuciones colaborativas de una comunidad abierta controlada por un interés compartido en proteger IoT. Estas contribuciones podrían consistir en servicios o tecnologías seguros. El marco de seguridad de Azure IoT Edge ofrece una base sólida para la seguridad que es extensible a la máxima cobertura para ofrecer el mismo nivel de confianza e integridad en el perímetro inteligente que con la nube de Azure.

Pasos siguientes

Obtenga más información sobre cómo Azure IoT Edge va a proteger el perímetro inteligente.