Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O gerenciamento de certificados no Azure Device Registry simplifica o gerenciamento dos certificados X.509 para dispositivos IoT. Este artigo apresenta os conceitos fundamentais relacionados à gestão de certificados e à autenticação baseada em certificados. Para obter mais informações, consulte o que é o gerenciamento de certificados (versão prévia)?
Importante
O Hub IoT do Azure com integração ao Registro de Dispositivos do Azure e gerenciamento de certificados X.509 com suporte da Microsoft está em prévia pública e não é recomendado para cargas de trabalho de produção. Para obter mais informações, consulte FAQ: o que há de novo em Hub IoT?.
Infraestrutura de chave pública em nuvem (PKI)
Infraestrutura de Chave Pública (PKI) é a estrutura de autoridades certificadoras, chaves criptográficas, políticas e processos usados para emitir, gerenciar, renovar e revogar certificados digitais. Certificados são essenciais para garantir a segurança de vários cenários, como identidade web e de dispositivo. Historicamente, as organizações constroem e operam seu próprio ambiente PKI, que frequentemente inclui módulos de segurança de hardware (HSMs), software de autoridade certificadora e procedimentos operacionais que podem ser particularmente complexos para frotas de IoT.
Uma PKI em nuvem oferece as mesmas capacidades de autoridade certificadora que a PKI tradicional, mas as entrega como um serviço gerenciado em nuvem. Em vez de implantar e operar a infraestrutura PKI por conta própria, as organizações consomem serviços de certificação por meio de APIs gerenciadas em nuvem, fluxos de trabalho do ciclo de vida e operações automatizadas. Você pode usar o gerenciamento de certificados no Azure Device Registry para aumentar a segurança dos seus dispositivos e acelerar sua transformação digital para um serviço PKI em nuvem totalmente gerenciado.
PKI na nuvem da Microsoft vs. PKI de terceiros
Embora o Hub IoT suporte dois tipos de provedores de PKI para autenticação de certificados X.509, o gerenciamento de certificados no Azure Device Registry atualmente suporta apenas PKI na nuvem da Microsoft. Para obter informações sobre como usar provedores PKI de terceiros, consulte Autenticar dispositivos com certificados de AC X.509.
| Provedor PKI | Integração necessária | Registro de Dispositivo do Azure necessário | Serviço de Provisionamento de Dispositivos necessário |
|---|---|---|---|
| PKI gerenciada pela Microsoft | Não. Configure as autoridades de certificação diretamente no Registro de Dispositivos do Azure. | Yes | Yes |
| PKI de terceiros (DigiCert, GlobalSign etc.) | Sim. Integração manual necessária. | No | No |
Cada namespace recebe seu próprio ambiente de PKI na nuvem logicamente isolado, garantindo que as operações de certificado sejam restritas a recursos dentro desse namespace. Os clientes não gerenciam a PKI em nuvem como um recurso separado do Azure. Em vez disso, a PKI em nuvem é automaticamente provisionada, escopada e gerenciada como parte de um namespace do Azure Device Registry.
Certificados X.509
Um certificado X.509 é um documento digital que associa uma chave pública à identidade de uma entidade, como um dispositivo, um usuário ou um serviço. A autenticação baseada em certificado fornece várias vantagens em relação a métodos menos seguros:
- Os certificados usam criptografia de chave pública/privada. A chave pública é compartilhada livremente, enquanto a chave privada permanece no dispositivo e pode residir dentro de TPMs (Trusted Platform Modules) ou elementos seguros. Isso impede que os invasores se passem pelo dispositivo.
- Os certificados são emitidos e validados por meio de uma hierarquia de autoridade de certificação (AC), permitindo que as organizações confiem em milhões de dispositivos por meio de uma única AC sem gerenciar segredos para cada dispositivo.
- Os dispositivos se autenticam na nuvem e a nuvem se autentica no dispositivo, permitindo a autenticação mútua de Segurança da Camada de Transporte (mTLS).
Tipos de certificados
Há duas categorias gerais de certificados X.509:
Certificados de autoridade de certificação: Esses certificados são emitidos por uma AC (Autoridade de Certificação) e você os usa para assinar outros certificados. Os certificados de Autoridade Certificadora incluem certificados raiz e certificados intermediários.
AC raiz: Um certificado raiz é um certificado autoassinado de nível superior de uma AC confiável que pode ser usado para assinar CAs intermediárias.
CA intermediária ou emissora: Um certificado intermediário é um certificado de CA assinado por um certificado raiz confiável. Pode ser útil usar certificados intermediários diferentes para diferentes conjuntos ou grupos de dispositivos, como dispositivos de diferentes fabricantes ou modelos diferentes de dispositivos.
Certificados de entidade final ou certificados de dispositivo: Certificados de CA assinam esses certificados, que podem ser certificados individuais ou de dispositivo. A CA então os entrega para usuários, servidores ou dispositivos.
Operações do ciclo de vida dos certificados
O gerenciamento de certificados apoia todo o ciclo de vida das autoridades certificadoras e dos certificados de dispositivos. Compreender as diferentes operações do ciclo de vida ajuda a garantir que os dispositivos mantenham uma conectividade segura e ininterrupta durante toda a sua vida operacional.
Emissão: O processo de gerar e assinar um novo certificado para uma autoridade certificadora ou dispositivo. Esse processo começa com um pedido de assinatura de certificado.
Renovação: O processo de estender a validade de um certificado de dispositivo emitindo um certificado de substituição antes que o certificado atual expire. Certificados de dispositivo podem ser renovados sem exigir que o dispositivo seja reprovisionado.
Rotação: O processo de substituir uma autoridade certificadora por uma nova autoridade certificadora, mantendo a relação de confiança. A rotação é comumente realizada quando uma CA intermediária se aproxima do vencimento ou quando os requisitos criptográficos mudam.
Revogação: O processo de invalidar um certificado antes da sua data de expiração caso ele não seja mais confiável, comprometido ou não autorizado para uso.
Validade: O término do período de validade de um certificado. Certificados que expiraram não podem mais ser usados para autenticação e devem ser renovados ou substituídos.
Solicitação de assinatura de certificado
Uma CSR (Solicitação de Autenticação de Certificado) é uma mensagem assinada digitalmente que um cliente, como um dispositivo IoT, gera para solicitar um certificado assinado de uma AC (Autoridade de Certificação). A CSR inclui a chave pública do dispositivo e informações de identificação, como sua ID de registro, e é assinada com a chave privada do dispositivo para provar a propriedade da chave. Uma CSR deve seguir os requisitos de política da PKI, incluindo algoritmos de chave aprovados, tamanhos de chave e formatos de campo de assunto. Quando um dispositivo gera uma nova chave privada, ele também gera uma nova CSR. Depois que a AC verifica e aprova a CSR, ela emite um certificado X.509 que associa a identidade do dispositivo à chave pública. Esse processo garante que somente os dispositivos capazes de demonstrar a posse de sua chave privada recebam certificados confiáveis.
Para mais informações sobre requisitos de solicitação de assinatura de certificados no Azure Device Registry, veja Emissão de certificados no Azure Device Registry.
Rotação de autoridade certificadora
A rotação da autoridade certificadora é o processo programado ou emergencial de substituir um certificado de CA raiz ou intermediário existente por um novo antes que o certificado antigo expire ou seja comprometido. Como a CA é a âncora de confiança e assina todos os certificados a jusante, substituí-la atualiza a base criptográfica de cada dispositivo.
No Azure Device Registry, as autoridades certificadoras são automaticamente rotacionadas antes do vencimento:
Nova Geração de CA: Antes que uma CA expire, a ADR automaticamente provisiona uma CA substituta. Essa etapa inicia um período de transição em que os serviços de IoT confiam tanto nas CAs antigas quanto nas novas. Certificados de dispositivo que a ADR emite não podem ter data de validade posterior à data de expiração da CA intermediária, então você nunca precisa se preocupar com certificados fantasmas.
Renovação do Certificado do Dispositivo: Durante essa janela, o dispositivo deve migrar para usar sua AC de substituição. Os dispositivos podem simplesmente solicitar um novo certificado conforme o processo regular de renovação de certificado do dispositivo. A ADR encaminha automaticamente as solicitações de assinatura de certificados do dispositivo para a nova CA intermediária.
Descontinuação da antiga CA: Assim que a janela de transição fecha, o ADR aposenta a antiga CA. Qualquer dispositivo que não recupere um novo certificado falha no TLS mútuo (mTLS) e perde a conectividade. Esses dispositivos podem solicitar um novo certificado para se conectar ao Hub IoT.
Algoritmos criptográficos e tipos de chaves
Certificados utilizam criptografia de chave pública para estabelecer confiança entre dispositivos e serviços. Cada certificado contém uma chave pública e é assinado por uma autoridade certificadora (CA) usando um algoritmo de assinatura criptográfica. A força, desempenho e compatibilidade de um certificado dependem do algoritmo de chave, tamanho da chave e algoritmo de hashing que você usa durante a criação e assinatura do certificado.
Algoritmos-chave
O gerenciamento de certificados utiliza criptografia assimétrica para estabelecer identidades digitais confiáveis. Na criptografia assimétrica, um par de chaves públicas e privadas matematicamente relacionado é usado para autenticação, assinaturas digitais e criptografia. A escolha do algoritmo criptográfico influencia a força da segurança, características de desempenho, interoperabilidade e requisitos de recursos. O gerenciamento de certificados no Azure Device Registry utiliza Criptografia de Curva Elíptica (ECC) para assinar certificados.
Tamanho da tecla e curvatura da tecla
O tamanho da chave ou curva de chave determina a força criptográfica do par de chaves pública/privada de um certificado. Tamanhos maiores de chave ou curvas mais fortes geralmente proporcionam maior força criptográfica, mas também podem afetar o tamanho do certificado, os requisitos de processamento e o desempenho. Por exemplo, o gerenciamento de certificados no Azure Device Registry emite certificados ECC usando a curva P-256.
Algoritmos de hashing
As autoridades certificadoras utilizam funções de hash criptográfico ao assinar certificados. Uma função de hash gera um resumo de comprimento fixo do conteúdo do certificado, que a AC emissora então assina digitalmente. Algoritmos de hashing ajudam a garantir a integridade dos certificados, detecção de adulterações, validação da cadeia de confiança e verificação de assinaturas digitais. O gerenciamento de certificados no Azure Device Registry usa SHA-384.
Assinaturas digitais
Quando uma autoridade certificadora emite um certificado, ela assina digitalmente o certificado usando sua chave privada e algoritmo de assinatura escolhido.
Durante a validação do certificado:
O hash do certificado é recalculado.
A chave pública da CA verifica a assinatura digital.
A cadeia de certificados é validada até uma CA raiz confiável.
Se você modificar qualquer certificado na cadeia, a validação da assinatura falha e o certificado não pode ser confiável.
Chaves protegidas por hardware vs. chaves protegidas por software
As Autoridades Certificadoras (CAs) dependem de chaves privadas para emitir e assinar certificados. A segurança de uma CA depende muito de como você gera, armazena e usa essas chaves privadas.
Chaves protegidas por software são armazenadas no software e dependem das proteções do sistema operacional para evitar acessos não autorizados. Embora mais simples de implantar, as chaves de software geralmente são mais vulneráveis a comprometimento por malware, roubo de credenciais, má configuração ou acesso administrativo não autorizado.
Chaves protegidas por hardware são geradas e armazenadas dentro de um Módulo de Segurança de Hardware (HSM), um dispositivo criptográfico dedicado projetado para proteger material sensível de chaves. Chaves privadas armazenadas em um HSM nunca saem do limite de hardware, e todas as operações de assinatura criptográfica são realizadas dentro do dispositivo. Isso reduz significativamente o risco de exposição a chaves e ajuda as organizações a cumprir rigorosos requisitos de segurança e conformidade.
O Azure Device Registry utiliza chaves protegidas por hardware para autoridades certificadoras. As chaves privadas da Autoridade Certificadora são protegidas usando o Azure Key Vault Managed HSM, garantindo que as operações de assinatura ocorram dentro de um limite de segurança de hardware validado por FIPS e que o material da chave privada não possa ser exportado.
Online CAs vs. offline CAs
Você também pode classificar as Autoridades Certificadoras pela acessibilidade da rede e modelo operacional.
Uma CA offline permanece desconectada das redes de produção durante a maior parte de sua vida útil. Use ACs offline como ACs raiz de alta garantia porque a chave privada está isolada das ameaças baseadas na rede. Ações administrativas normalmente exigem processos manuais, tornando as CAs offline altamente seguras, porém operacionalmente intensivas.
Uma CA online conecta-se a uma rede e pode realizar automaticamente a emissão de certificados, renovação e operações ao longo do ciclo de vida. As CAs online permitem gerenciamento escalável de certificados e automação, mas exigem controles rigorosos para proteger chaves de assinatura e infraestrutura de CA.
O Azure Device Registry utiliza autoridades certificadoras online para suportar emissão, renovação, revogação e rotação automatizadas de certificados em escala de nuvem. O Azure Managed HSM protege essas CAs online usando armazenamento de chaves suportado por hardware, combinando os benefícios operacionais das CAs online com controles fortes de proteção de chaves. Clientes que utilizam o modelo de confiança Bring Your Own CA (BYOCA) geralmente mantêm sua CA raiz offline e a utilizam apenas para estabelecer confiança para autoridades certificadoras que emitem online. Essa abordagem combina os benefícios de segurança de uma âncora de confiança offline com a escalabilidade das CAs online gerenciadas pela nuvem.
Autenticação versus autorização
Autenticação significa provar a identidade para o Hub IoT. Ele verifica se um usuário ou dispositivo é quem ele afirma ser. Esse processo geralmente é chamado de AuthN.
Autorização significa confirmar o que um usuário ou dispositivo autenticado pode acessar ou fazer no Hub IoT. Ele define permissões para recursos e comandos. Às vezes, a autorização é conhecida como AuthZ.
O Hub IoT usa certificados X.509 apenas para autenticação, não para autorização. Ao contrário do Microsoft Entra ID e das assinaturas de acesso compartilhado, os certificados X.509 não suportam permissões personalizáveis.