次の方法で共有

Azure IoT Edge のセキュリティ標準

適用対象:IoT Edge 1.5 のチェックマーク IoT Edge 1.5

重要

IoT Edge 1.5 LTS は、サポートされているリリースです。 IoT Edge 1.4 LTS は、2024 年 11 月 12 日をもってサポートが終了しています。 以前のリリースの場合は、「IoT Edge を更新する」を参照してください。

Azure IoT Edge は、インテリジェント エッジへのデータと分析の移動に固有のリスクに対処します。 IoT Edge のセキュリティ標準では、さまざまなデプロイ シナリオの柔軟性と、お客様が Azure サービスから期待する保護のバランスを取ります。

IoT Edge は、さまざまなハードウェア メーカーおよびモデルに対応しています。また、複数のオペレーティング システムをサポートしており、多様なデプロイ シナリオに適用できます。 IoT Edge は、特定のシナリオに対して具体的なソリューションを提供するのではなく、スケーリング用に設計された十分に根拠のある原則に基づく拡張可能なセキュリティ フレームワークです。 デプロイ シナリオのリスクは、次のような多くの要因に左右されます。

  • ソリューションの所有権
  • デプロイの地理的な場所
  • データの機密性
  • プライバシー
  • 応用業種
  • 規制による要件

この記事では、IoT Edge のセキュリティ フレームワークについて概説します。 詳細については、インテリジェント エッジのセキュリティ保護に関する記事をご覧ください。

標準

標準により、セキュリティの特徴である、調査と実装が容易になります。 セキュリティ ソリューションは、信頼を評価しやすくし、デプロイを妨げないようにする必要があります。 Azure IoT Edge をセキュリティで保護するためのフレームワークでは、知識と再利用のために実証済みのセキュリティ プロトコルが使用されます。

認証

IoT ソリューションをデプロイするとき、信頼できるアクター、デバイス、およびコンポーネントのみがそのソリューションにアクセスできることを認識する必要があります。 証明書ベースの認証は、Azure IoT Edge プラットフォームの主要認証メカニズムです。 このメカニズムは、インターネット技術標準化委員会 (IETF) による公開キー基盤 (PKiX) を管理するための標準を基に作られています。

Azure IoT Edge デバイスと相互作用するすべてのデバイス、モジュール、およびアクターは、一意の証明書 ID を持っている必要があります。 このガイダンスは、相互作用が物理的なものか、ネットワーク接続を介して行われるかにかかわらず適用されます。 すべてのシナリオまたはコンポーネントが証明書ベースの認証に役立つわけではないため、セキュリティ フレームワークの拡張性により、セキュリティで保護された代替手段が提供されます。

詳細については、Azure IoT Edge 証明書の使用に関するページを参照してください。

承認

最小特権の原則によると、システムのユーザーとコンポーネントは、そのロールの実行に最低限必要な一連のリソースとデータにのみアクセスする必要があります。 デバイス、モジュール、アクターは、アクセス許可スコープ内のリソースとデータにのみアクセスし、アーキテクチャで許可されている場合にのみアクセスする必要があります。 一部のアクセス許可は十分な特権で構成可能で、他のアクセス許可はアーキテクチャによって適用されます。 たとえば、一部のモジュールに Azure IoT Hub への接続を許可できます。 ただし、ある IoT Edge デバイス内のモジュールが別の IoT Edge デバイス内のモジュールのツインにアクセスすべき理由はありません。

その他の承認スキームには、証明書署名権限とロールベースのアクセス制御、または RBAC が含まれます。

構成証明

構成証明により、マルウェアの検出と防止に重要なソフトウェア ビットの整合性が確保されます。 Azure IoT Edge セキュリティ フレームワークでは、構成証明書は次の 3 つのカテゴリに分類されます。

  • 静的構成証明
  • ランタイム構成証明
  • ソフトウェア構成証明

静的構成証明

静的構成証明では、電源投入時にデバイス上のすべてのソフトウェア (オペレーティング システムを含む)、すべてのランタイム、および構成情報の整合性が検証されます。 静的構成証明は電源投入時に実行されるため、多くの場合、セキュア ブートと呼ばれます。 IoT Edge デバイスのセキュリティ フレームワークには、製造元の協力を得て、静的構成証明のプロセスを確実に実行するための、セキュリティで保護されたハードウェア機能が組み込まれています。 これらのプロセスには、セキュア ブートとセキュア ファームウェア アップグレードが含まれます。 シリコン ベンダーとのコラボレーションにより、不要なファームウェア レイヤーを排除し、脅威の表面を最小限に抑えることができます。

ランタイム構成証明

セキュア ブート プロセスが完了すると、適切に設計されたシステムでは、マルウェアを挿入する試みが検出され、適切な対策が取られます。 マルウェア攻撃では、システムのポートやインターフェイスが標的にされる可能性があります。 悪意のあるアクターがデバイスに物理的にアクセスできる場合は、デバイス自体を不正変更したり、システムへアクセスするためにサイドチャネル攻撃を加える可能性があります。 マルウェアであれ未承認の構成変更であれ、そのような悪意のあるコンテンツは、ブート プロセスの後に挿入されるため静的構成証明では検出できません。 ハードウェアベースの対策は、このような脅威を防ぐのに役立ちます。 IoT Edge のセキュリティ フレームワークでは、ランタイム上の脅威に対処するために、拡張機能が明示的に呼び出されます。

ソフトウェア構成証明

インテリジェント エッジ システムを含むすべての正常なシステムには、パッチやアップグレードが必要です。 更新プロセスは、潜在的な脅威ベクターとなる危険性があるため、セキュリティが重要になります。 IoT Edge セキュリティ フレームワークでは、パッケージの整合性を確保し、ソースを認証するために、測定済みパッケージと署名済みパッケージによる更新が必要です。 この標準は、すべてのオペレーティング システムとアプリケーション ソフトウェア ビットに適用されます。

信頼のハードウェア ルート

多くのインテリジェント エッジ デバイス、特に、潜在的な悪意のあるアクターが物理的にアクセスできるデバイスでは、ハードウェア セキュリティが最後の防護策です。 こうしたデプロイでは、ハードウェアが改ざんされにくいことがきわめて重要です。 Azure IoT Edge では、さまざまなリスク プロファイルやデプロイ シナリオに対応するために、セキュア シリコン ハードウェア ベンダーが、異なる特性を持つ信頼のハードウェア ルートを提供することが奨励されています。 ハードウェアの信頼性は、トラステッド プラットフォーム モジュール (ISO/IEC 11889) や Trusted Computing Group のデバイス識別子コンポジション エンジン (DICE) などの共通のセキュリティ プロトコル標準から得られます。 また、ハードウェアの信頼性は、TrustZones や Software Guard Extensions (SGX) などのセキュア エンクレイヴ テクノロジーからも得られます。

[認定](#certification-phase)

お客様が十分な情報に基づいて、展開する Azure IoT Edge デバイスを購入できるよう、IoT Edge フレームワークには認定の要件が含まれています。 これらの要件の基礎となるのは、セキュリティ クレームに関連する証明書と、セキュリティの実装の検証に関連する証明書です。 たとえば、セキュリティ クレーム証明書は、IoT Edge デバイスが、ブート時の攻撃に対する防護策を持つことが確認されているセキュリティ保護されたハードウェアを使用していることを意味します。 検証証明書は、デバイスでこの価値を提供するために、セキュリティで保護されたハードウェアが正しく実装されていることを意味します。 このフレームワークは、シンプルさの原則に合わせて、認定の負担を最小限に抑えます。

保存時の暗号化

保存時の暗号化は、格納されているデータのデータ保護を提供します。 保存データへの攻撃では、データが保存されているハードウェアへの物理的なアクセスを取得し、その中に含まれるデータが侵害されます。 ストレージ暗号化を使用して、デバイスに格納されているデータを保護できます。 Linux には、保存時の暗号化に関するいくつかのオプションがあります。 ニーズに最適なオプションを以下から選択します。 Windows の場合、保存時の暗号化には Windows BitLocker が推奨されるオプションです。

機能拡張

IoT テクノロジにより、さまざまな種類のビジネス トランスフォーメーションが推し進められているため、新たなシナリオに対応するセキュリティが同時並行的に発展する必要があります。 Azure IoT Edge セキュリティ フレームワークは、強固な基盤から始まり、次のようなさまざまなディメンションに拡張性を構築します。

  • Azure IoT Hub の Device Provisioning Service などのファースト パーティのセキュリティ サービス。
  • さまざまな応用業種 (工業や医療など) のマネージド セキュリティ サービスなどのサードパーティ サービス、または多数のパートナー ネットワークを通したテクノロジ フォーカス (メッシュ ネットワーク内のセキュリティ監視やシリコン ハードウェア構成証明サービス)。
  • レガシーシステムでは、証明書ではないセキュリティで保護された技術を使用して認証とID管理を行うなど、代替セキュリティ戦略を後付けすることが含まれます。
  • 新興のセキュア ハードウェア テクノロジーとシリコン パートナーとの共同作業が適用されたセキュア ハードウェア。

インテリジェント エッジをセキュリティで保護するには、IoT のセキュリティ保護に関する共通の関心によって推進されるオープン コミュニティからの共同貢献が必要です。 この協力は、セキュリティ テクノロジまたはサービスの形体で行われます。 Azure IoT Edge セキュリティ フレームワークは、Azure クラウドと同じレベルの信頼性と整合性をインテリジェント エッジで提供するため、最大限の防御範囲のセキュリティを実現する強固な基盤を提供します。

次のステップ

Azure IoT Edge の詳細については、インテリジェント エッジのセキュリティ保護に関するページを参照してください。