Beveiligingsstandaarden voor Azure IoT Edge

Van toepassing op: IoT Edge 1.5

Belangrijk

IoT Edge 1.5 LTS is de ondersteunde release. IoT Edge 1.4 LTS is het einde van de levensduur vanaf 12 november 2024. Raadpleeg IoT Edge bijwerken als u een eerdere versie hebt.

Azure IoT Edge behandelt risico's die inherent zijn aan het verplaatsen van uw gegevens en analyses naar de intelligente rand. IoT Edge-beveiligingsstandaarden verdelen de flexibiliteit voor verschillende implementatiescenario's met de bescherming die klanten verwachten van Azure-services.

IoT Edge wordt uitgevoerd op verschillende merken en modellen van hardware, ondersteunt verschillende besturingssystemen en is van toepassing op diverse implementatiescenario's. In plaats van concrete oplossingen te bieden voor specifieke scenario's, is IoT Edge een uitbreidbaar beveiligingsframework op basis van goedaardige principes die zijn ontworpen voor schaalaanpassing. Het risico van een implementatiescenario is afhankelijk van veel factoren, waaronder:

• Eigendom van oplossing
• Geografie van implementatie
• Vertrouwelijkheid van gegevens
• Geheimhouding
• Toepassing verticaal
• Wettelijke vereisten

Dit artikel bevat een overzicht van het IoT Edge-beveiligingsframework. Zie De intelligente rand beveiligen voor meer informatie.

Standaarden

Standaarden maken controle en implementatie eenvoudiger, wat kenmerken van beveiliging zijn. Een beveiligingsoplossing moet eenvoudig te evalueren zijn voor vertrouwen en de implementatie niet belemmeren. Het framework voor het beveiligen van Azure IoT Edge maakt gebruik van bewezen beveiligingsprotocollen voor vertrouwdheid en hergebruik.

Verificatie

Wanneer u een IoT-oplossing implementeert, moet u weten dat alleen vertrouwde actoren, apparaten en modules toegang hebben tot uw oplossing. Verificatie op basis van certificaten is het primaire mechanisme voor verificatie voor het Azure IoT Edge-platform. Dit mechanisme is afgeleid van een set standaarden voor Public Key Infrastructure (PKiX) door de Internet Engineering Task Force (IETF).

Alle apparaten, modules en actoren die communiceren met het Azure IoT Edge-apparaat, moeten unieke certificaatidentiteiten hebben. Deze richtlijnen zijn van toepassing of de interacties fysiek of via een netwerkverbinding zijn. Niet elk scenario of onderdeel kan zich lenen voor verificatie op basis van certificaten, dus de uitbreidbaarheid van het beveiligingsframework biedt veilige alternatieven.

Zie het gebruik van Azure IoT Edge-certificaten voor meer informatie.

Autorisatie

Het principe van minimale bevoegdheden geeft aan dat gebruikers en onderdelen van een systeem alleen toegang moeten hebben tot de minimale set resources en gegevens die nodig zijn om hun rollen uit te voeren. Apparaten, modules en actoren moeten alleen toegang hebben tot de resources en gegevens binnen hun machtigingsbereik en alleen wanneer dit architectonisch is toegestaan. Sommige machtigingen kunnen worden geconfigureerd met voldoende bevoegdheden, terwijl andere architectonisch worden afgedwongen. Sommige modules kunnen bijvoorbeeld zijn gemachtigd om verbinding te maken met Azure IoT Hub. Er is echter geen reden waarom een module in een IoT Edge-apparaat toegang moet krijgen tot de dubbel van een module op een ander IoT Edge-apparaat.

Andere autorisatieschema's omvatten certificaatondertekeningsrechten en op rollen gebaseerd toegangsbeheer of RBAC.

Attest

Attestation zorgt voor de integriteit van software-bits, wat belangrijk is voor het detecteren en voorkomen van malware. Het Azure IoT Edge-beveiligingsframework classificeert attestation onder drie hoofdcategorieën:

• Statische attestation
• Runtime-attestation
• Softwareverklaring

Statische attestation

Statische attestation controleert de integriteit van alle software op een apparaat tijdens het inschakelen, inclusief het besturingssysteem, alle runtimes en configuratiegegevens. Omdat statische attestation plaatsvindt tijdens het inschakelen, wordt het vaak aangeduid als beveiligd opstarten. Het beveiligingsframework voor IoT Edge-apparaten is uitgebreid naar fabrikanten en bevat beveiligde hardwaremogelijkheden die statische attestation-processen garanderen. Deze processen omvatten beveiligde opstart- en beveiligde firmware-upgrade. Samenwerken met siliciumleveranciers elimineert onnodige firmwarelagen en minimaliseert het bedreigingsoppervlak.

Runtime-attestation

Zodra een systeem een beveiligd opstartproces heeft voltooid, moeten goed ontworpen systemen pogingen detecteren om malware te injecteren en de juiste tegenmaatregelen nemen. Malwareaanvallen kunnen gericht zijn op de poorten en interfaces van het systeem. Als kwaadwillende actoren fysieke toegang hebben tot een apparaat, kunnen ze knoeien met het apparaat zelf of zijkanaalaanvallen gebruiken om toegang te krijgen. Dergelijke malcontent, of malware of niet-geautoriseerde configuratiewijzigingen, kunnen niet worden gedetecteerd door statische attestation omdat deze wordt geïnjecteerd na het opstartproces. Op hardware gebaseerde tegenmaatregelen helpen dergelijke bedreigingen te voorkomen. Het beveiligingsframework voor IoT Edge roept expliciet op voor extensies die runtimebedreigingen bestrijden.

Softwareverklaring

Alle gezonde systemen, inclusief intelligente edge-systemen, hebben patches en upgrades nodig. Beveiliging is belangrijk voor updateprocessen, anders kunnen dit mogelijke bedreigingsvectoren zijn. Het IoT Edge-beveiligingsframework vereist updates via gemeten en ondertekende pakketten om de pakketintegriteit te garanderen en hun bron te verifiëren. Deze standaard is van toepassing op alle besturingssystemen en toepassingssoftware bits.

Hardwarehoofdmap van vertrouwen

Voor veel intelligente edge-apparaten, met name apparaten die fysiek toegankelijk zijn voor potentiële kwaadwillende actoren, is hardwarebeveiliging de laatste verdediging voor beveiliging. Manipulatiebestendige hardware is cruciaal voor dergelijke implementaties. Azure IoT Edge moedigt veilige leveranciers van siliciumhardware aan om verschillende soorten hardwarehoofdmap van vertrouwen te bieden voor verschillende risicoprofielen en implementatiescenario's. Hardwarevertrouwen kan afkomstig zijn van algemene standaarden voor beveiligingsprotocol's zoals Trusted Platform Module (ISO/IEC 11889) en de Device Identifier Composition Engine (DICE) van de Trusted Computing Group. Beveiligde enclavetechnologieën zoals TrustZones en Software Guard Extensions (SGX) bieden ook hardwarevertrouwen.

Certificering

Om klanten te helpen weloverwogen beslissingen te nemen bij het aanschaffen van Azure IoT Edge-apparaten voor hun implementatie, bevat het IoT Edge-framework certificeringsvereisten. Basis voor deze vereisten zijn certificeringen met betrekking tot beveiligingsclaims en certificeringen die betrekking hebben op validatie van de beveiligingsuitvoering. Een beveiligingsclaimcertificering betekent bijvoorbeeld dat het IoT Edge-apparaat gebruikmaakt van beveiligde hardware die bekend is tegen opstartaanvallen. Een validatiecertificering betekent dat de beveiligde hardware correct is geïmplementeerd om deze waarde in het apparaat aan te bieden. Het framework houdt de certificeringslast minimaal in overeenstemming met het principe van eenvoud.

Versleuteling 'at rest'

Versleuteling-at-rest biedt gegevensbeveiliging voor opgeslagen gegevens. Aanvallen op data-at-rest omvatten pogingen om fysieke toegang te krijgen tot de hardware waarop de gegevens zijn opgeslagen en vervolgens inbreuk te maken op de ingesloten gegevens. U kunt opslagversleuteling gebruiken om gegevens te beveiligen die zijn opgeslagen op het apparaat. Linux heeft verschillende opties voor versleuteling-at-rest. Kies de optie die het beste bij uw behoeften past. Voor Windows is Windows BitLocker de aanbevolen optie voor versleuteling-at-rest.

Uitbreidbaarheid

Met IoT-technologie die verschillende typen bedrijfstransformaties aansturen, moet de beveiliging zich parallel ontwikkelen om opkomende scenario's aan te pakken. Het Azure IoT Edge-beveiligingsframework begint met een solide basis en bouwt uitbreidbaarheid in verschillende dimensies, waaronder:

• Externe beveiligingsservices, zoals Device Provisioning Service voor Azure IoT Hub.
• Services van derden zoals beheerde beveiligingsservices voor verschillende toepassingsverticalen (zoals industriële of gezondheidszorg) of technologiefocus (zoals beveiligingsbewaking in mesh-netwerken of silicon hardware attestation-services) via een uitgebreid netwerk van partners.
• Verouderde systemen, waaronder retrofitting met alternatieve beveiligingsstrategieën, zoals het gebruik van andere beveiligde technologie dan certificaten voor verificatie en identiteitsbeheer.
• Veilige hardware voor de acceptatie van opkomende veilige hardwaretechnologieën en bijdragen van silicon partners.

Het beveiligen van de intelligente rand vereist gezamenlijke bijdragen van een open community die wordt gedreven door een gedeeld belang bij het beveiligen van IoT. Deze bijdragen kunnen de vorm hebben van veilige technologieën of diensten. Het Azure IoT Edge-beveiligingsframework biedt een solide basis voor beveiliging die uitbreidbaar is voor de maximale dekking om hetzelfde vertrouwens- en integriteitsniveau in de intelligente rand te bieden als met de Azure-cloud.

Volgende stappen

Lees meer over hoe Azure IoT Edge de intelligente rand beveiligt.