Azure IoT Edge security manager
A következőkre vonatkozik: 
IoT Edge 1.1
Fontos
Az IoT Edge 1.1 támogatási dátuma 2022. december 13. volt. A termék, szolgáltatás, technológia vagy API támogatásáról a Microsoft-termékek életciklusa című leírásból tájékozódhat. Az IoT Edge legújabb verziójára való frissítésről további információt az IoT Edge frissítése című témakörben talál.
Az Azure IoT Edge security manager egy jól határolt biztonsági mag az IoT Edge-eszköz és annak összes összetevőjének védelméhez a biztonságos szilíciumhardver absztrakciójával. A biztonsági vezető a biztonsági megkeményedés fókuszpontja, és technológiai integrációs pontot biztosít az eredeti berendezésgyártók (OEM) számára.
A security manager elvonja a biztonságos szilícium hardvert egy IoT Edge-eszközön.
Az IoT Edge security manager célja, hogy megvédje az IoT Edge-eszköz integritását és minden vele járó szoftverműveletet. A security manager áttér a megbízhatósági hardver mögöttes hardvergyökeréről (ha elérhető) az IoT Edge-futtatókörnyezet elindítására és a folyamatban lévő műveletek monitorozására. Az IoT Edge biztonsági kezelője olyan szoftver, amely biztonságos szilíciumhardverekkel (ahol elérhető) együtt dolgozik, hogy a lehető legmagasabb biztonsági garanciákat nyújthassa.
Az IoT Edge biztonsági kezelőjének feladatai közé tartoznak, de nem korlátozódnak a következőkre:
- Indítsa el az Azure IoT Edge-eszközt.
- A bizalmi eszköz hardveres gyökeréhez való hozzáférés vezérlése közjegyzői szolgáltatásokon keresztül.
- Az IoT Edge-műveletek integritásának figyelése futásidőben.
- Megbízhatósági delegálást fogad a hardveres biztonsági modultól (HSM)
- Az eszközidentitás kiépítése és a bizalmi átmenet kezelése, ahol lehetséges.
- Üzemeltetheti és védheti a felhőszolgáltatások eszközösszetevőit, például a Device Provisioning Service-t.
- IoT Edge-modulok kiépítése egyedi identitásokkal.
Az IoT Edge biztonsági kezelője három összetevőből áll:
- Az IoT Edge biztonsági démonja
- A hardveres biztonsági modul platform absztrakciós rétege (HSM PAL)
- A megbízhatóság vagy a HSM hardveres szilíciumgyökere (nem kötelező, de erősen ajánlott)
Az IoT Edge biztonsági démonja
Az IoT Edge biztonsági démon felelős a biztonsági vezető logikai biztonsági műveleteiért. Ez az IoT Edge-eszköz megbízható számítási bázisának jelentős részét képviseli.
Tervezési alapelvek
Az IoT Edge két alapvető alapelvet követ: maximalizálja a működési integritást, és minimalizálja a bloatot és a púfot.
A működési integritás maximalizálása
Az IoT Edge biztonsági démon a lehető legmagasabb integritással működik a megbízhatósági hardverek adott gyökerének védelmi képességein belül. A megfelelő integrációval a megbízhatósági hardver gyökere statikusan és futásidőben méri és figyeli a biztonsági démont, hogy ellenálljon az illetéktelen beavatkozásnak. Az eszközökhöz való rosszindulatú fizikai hozzáférés mindig fenyegetés az IoT-ben. A megbízhatóság hardveres gyökere fontos szerepet játszik az IoT Edge-eszköz integritásának védelmében. A megbízhatóság hardveres gyökere két fajtából áll:
- Bizalmas információk, például titkos kódok és titkosítási kulcsok védelmének biztonságos elemei.
- Biztonságos enklávék a titkos kulcsok, valamint a bizalmas számítási feladatok, például a bizalmas gépi tanulási modellek és a mérési műveletek védelméhez.
Kétféle végrehajtási környezet létezik a megbízhatóság hardveres gyökerének használatára:
- A standard vagy gazdag végrehajtási környezet (REE), amely a bizalmas információk védelmére szolgáló biztonságos elemek használatára támaszkodik.
- A megbízható végrehajtási környezet (TEE), amely a biztonságos enklávé technológia használatára támaszkodik a bizalmas információk védelme érdekében, és védelmet nyújt a szoftveres végrehajtás számára.
A megbízható hardvergyökérként biztonságos enklávékat használó eszközök esetében az IoT Edge biztonsági démon bizalmas logikájának az enklávéban kell lennie. A biztonsági démon nem bizalmas részei a TEE-n kívül is lehetnek. Minden esetben határozottan javasoljuk, hogy az eredeti tervezőgyártók (ODM) és az eredeti berendezésgyártók (OEM) bővítsék ki a HSM megbízhatóságát az IoT Edge biztonsági démon integritásának mérésére és védelmére a rendszerindításkor és futásidőben.
A bloat és az adatváltozás minimalizálása
Az IoT Edge biztonsági démon egy másik alapvető alapelve a változás minimalizálása. A legmagasabb szintű megbízhatóság érdekében az IoT Edge biztonsági démon szorosan együttműködik az eszköz hardveres gyökerével, és natív kódként működik. Ezekben az esetekben gyakori, hogy az IoT Edge-szoftvert az operációs rendszer frissítési mechanizmusai helyett a megbízhatósági kapcsolat biztonsági frissítési útvonalainak hardveres gyökerével frissítik, ami kihívást jelenthet. Az IoT-eszközökhöz ajánlott a biztonsági megújítás, de a túlzott frissítési követelmények vagy a nagy frissítési hasznos adatok számos módon bővíthetik a fenyegetés felületét. Előfordulhat például, hogy az eszköz rendelkezésre állásának maximalizálása érdekében előfordulhat, hogy kihagy néhány frissítést. Ezért az IoT Edge biztonsági démon tervezése tömör, hogy a jól izolált megbízható számítási bázis kicsi maradjon a gyakori frissítések ösztönzése érdekében.
Architektúra
Az IoT Edge biztonsági démon a megbízhatósági technológia minden elérhető hardvergyökerét kihasználja a biztonsági megkeményedéshez. Emellett lehetővé teszi a standard/gazdag végrehajtási környezetek (REE) és a megbízható végrehajtási környezetek (TEE) közötti felosztást is, ha a hardvertechnológiák megbízható végrehajtási környezeteket kínálnak. A szerepkörspecifikus interfészek lehetővé teszik az IoT Edge fő összetevői számára, hogy biztosítsák az IoT Edge-eszköz és annak műveleteinek integritását.
Felhőfelület
A felhőfelület lehetővé teszi az eszközbiztonságot kiegészítő felhőszolgáltatások elérését. Ez a felület például lehetővé teszi a Device Provisioning Service elérését az eszközidentitás-életciklus-kezeléshez.
Felügyeleti API
A felügyeleti API-t az IoT Edge-ügynök hívja meg IoT Edge-modul létrehozásakor/indításakor/leállításakor/eltávolításakor. A biztonsági démon "regisztrációkat" tárol az összes aktív modulhoz. Ezek a regisztrációk egy modul identitását a modul egyes tulajdonságaihoz rendelik. Ezek a modultulajdonságok például a tárolóban futó folyamat folyamatazonosítóját (pid) és a Docker-tároló tartalmának kivonatát tartalmazzák.
Ezeket a tulajdonságokat a számítási feladat API (az alábbiakban ismertetett) használatával ellenőrzi, hogy a hívó jogosult-e egy műveletre.
A felügyeleti API egy emelt szintű API, amely csak az IoT Edge-ügynöktől hívható meg. Mivel az IoT Edge biztonsági démon bootstraps és elindítja az IoT Edge-ügynököt, ellenőrzi, hogy az IoT Edge-ügynök nem lett-e illetéktelenül módosítva, így implicit regisztrációt hozhat létre az IoT Edge-ügynökhöz. A számítási feladat API által használt igazolási folyamat a felügyeleti API-hoz való hozzáférést is csak az IoT Edge-ügynökre korlátozza.
Container API
A tároló API együttműködik a modulkezeléshez használt tárolórendszerrel, például a Mobyval vagy a Dockerrel.
Számítási feladat API
A számítási feladat API minden modul számára elérhető. Az identitás igazolását biztosítja HSM-gyökerű aláírt jogkivonatként vagy X509-tanúsítványként, valamint a modulhoz tartozó megbízhatósági csomagként. A megbízhatósági csomag ca-tanúsítványokat tartalmaz az összes többi kiszolgálóhoz, amelyekben a moduloknak megbízhatónak kell lennie.
Az IoT Edge biztonsági démon egy igazolási folyamatot használ az API védelmére. Amikor egy modul meghívja ezt az API-t, a biztonsági démon megpróbál regisztrálni az identitáshoz. Ha sikeres, a regisztráció tulajdonságaival méri a modult. Ha a mérési folyamat eredménye megegyezik a regisztrációval, új identitásigazolás jön létre. A megfelelő ca-tanúsítványok (megbízhatósági csomag) visszakerülnek a modulba. A modul ezzel a tanúsítvánnyal csatlakozik az IoT Hubhoz, más modulokhoz, vagy elindít egy kiszolgálót. Amikor az aláírt jogkivonat vagy tanúsítvány lejár, a modul feladata egy új tanúsítvány kérése.
Integráció és karbantartás
A Microsoft fenntartja az IoT Edge biztonsági démon fő kódbázisát a GitHubon.
Telepítés és frissítések
Az IoT Edge biztonsági démon telepítésének és frissítéseinek kezelése az operációs rendszer csomagkezelő rendszerén keresztül történik. A megbízható hardveres gyökerű IoT Edge-eszközöknek további erősítést kell biztosítaniuk a démon integritásához azáltal, hogy az életciklusukat a biztonságos rendszerindítási és frissítéskezelési rendszereken keresztül kezelik. Az eszközkészítőknek ezeket a lehetőségeket a megfelelő eszközképességük alapján kell megvizsgálniuk.
Verziókezelés
Az IoT Edge-futtatókörnyezet nyomon követi és jelenti az IoT Edge biztonsági démon verzióját. A rendszer a verziót az IoT Edge-ügynök modul jelentett tulajdonságának runtime.platform.version attribútumaként jelenti.
Hardveres biztonsági modul
A hardveres biztonsági modulplatform absztrakciós rétege (HSM PAL) absztrakciós rétege elvonja a megbízhatósági hardver összes gyökerét, hogy elkülönítse az IoT Edge fejlesztőjét vagy felhasználóját az összetettségeiktől. Az alkalmazásprogramozási felület (API) és a tartományközi kommunikációs eljárások kombinációját tartalmazza, például egy szabványos végrehajtási környezet és egy biztonságos enklávé közötti kommunikációt. A HSM PAL tényleges megvalósítása a használt biztonságos hardvertől függ. Létezése gyakorlatilag bármilyen biztonságos szilíciumhardver használatát teszi lehetővé.
A megbízható hardverek szilíciumgyökerének biztonságossá tétele
Biztonságos szilícium szükséges az IoT Edge-eszköz hardverén belüli megbízhatóság rögzítéséhez. A biztonságos szilícium sokféle lehet, például a Megbízható platform modul (TPM), a beágyazott biztonságos elem (eSE), az Arm TrustZone, az Intel SGX és az egyéni biztonságos szilíciumtechnológiák. Az IoT-eszközök fizikai hozzáférhetőségével kapcsolatos fenyegetések miatt ajánlott biztonságos szilíciumgyökér használata az eszközökben.
Az IoT Edge security manager célja, hogy azonosítsa és elkülönítse azokat az összetevőket, amelyek védik az Azure IoT Edge platform biztonságát és integritását az egyéni keményítéshez. A harmadik feleknek, például az eszközkészítőknek az eszközhardverükkel elérhető egyéni biztonsági funkciókat kell használniuk.
Megtudhatja, hogyan edzheti meg az Azure IoT security managert a megbízható platformmodullal (TPM) szoftveres vagy virtuális TPM-ekkel:
Hozzon létre és hozzon létre egy IoT Edge-eszközt egy virtuális TPM-lel Linuxon vagy Linuxon Windowson.
Következő lépések
Az IoT Edge-eszközök védelméről az alábbi blogbejegyzésekből tudhat meg többet: