Azure Sphere nedir?
Azure Sphere güvenli, internete bağlı cihazlara yönelik yerleşik bağlantı ve güvenlik özellikler içeren üst düzey bir uygulama platformudur. Güvenli, bağlantılı, çapraz bir mikrodenetleyici biriminden (MCU), özel bir üst düzey Linux tabanlı işletim sisteminden ve sürekli, yenilenebilir güvenlik sağlayan bulut tabanlı bir güvenlik hizmetinden oluştur.
Azure Sphere MCU gerçek zamanlı işlem özelliklerini üst düzey işletim sistemi çalıştırabilme özelliğiyle tümleştirir. Azure Sphere MCU, işletim sistemi ve uygulama platformuyla birlikte uzaktan güncelleştirilebilen, denetlenebilen, izlenebilen ve bakımı yapılabilen güvenli, İnternet bağlantılı cihazlar oluşturmaya olanak tanır. Mevcut MCU'ların yanında veya yerine Azure Sphere MCU içeren bağlı bir cihaz gelişmiş güvenlik, üretkenlik ve fırsat sağlar. Örneğin:
- Güvenli bir uygulama ortamı, kimliği doğrulanmış bağlantılar ve çevre birimlerinin kullanımı, kimlik sahtekarlığına, sahte yazılımlara veya hizmet reddi saldırılarına bağlı güvenlik risklerini en aza indirir.
- Yazılım güncelleştirmeleri, sorunları gidermek, yeni işlevsellik sağlamak veya ortaya çıkan saldırı yöntemlerine karşı koymak için buluttan herhangi bir bağlı cihaza otomatik olarak dağıtılabilir ve böylece destek personelinin üretkenliği artırılabilir.
- Ürün kullanım verileri, sorunları tanılamaya ve yeni ürünler tasarlamaya yardımcı olmak için güvenli bir bağlantı üzerinden buluta bildirilebilir, böylece ürün hizmeti, pozitif müşteri etkileşimleri ve gelecekteki geliştirme fırsatları artar.
Azure Sphere Güvenlik Hizmeti, Azure Sphere'in ayrılmaz bir yönüdür. Azure Sphere MCU'ları bu hizmeti kullanarak buluta ve web'e güvenli bir şekilde bağlanır. Hizmet, cihazın yalnızca orijinal, onaylı yazılımın yetkili bir sürümüyle ön yüklemesini sağlar. Buna ek olarak, Microsoft'un güvenlik sorunlarını azaltmak için sahada dağıtılan cihazlara işletim sistemi güncelleştirmelerini otomatik olarak indirip yükleyebileceği güvenli bir kanal sağlar. Üretici veya son kullanıcı müdahalesi gerekli değildir, bu nedenle ortak bir güvenlik deliği kapatılır.
Not
Azure Sphere, PAPI tabanlı arabirimi Azure Sphere (Eski) ve tümleşik Azure Resource Manager arabirimini Azure Sphere (Tümleşik) olarak ifade eder.
Azure Sphere senaryosu
Azure Sphere'ın gerçek dünya ayarında nasıl çalıştığını anlamak için bu senaryoya göz önünde bulundurun.
Contoso, Ltd., bir Azure Sphere MCU'sunu bulaşık makinelerine ekleyen bir beyaz eşya ürün üreticisidir. DW100 bulaşık makinesi, MCU'ya çeşitli algılayıcılar ve Azure Sphere MCU üzerinde çalışan bir yerleşik üst düzey uygulama ile bir araya getirir. Uygulama, Azure Sphere Güvenlik Hizmeti ve Contoso'nun bulut hizmetleriyle iletişim kurar. Aşağıdaki diyagramda bu senaryo gösterilmektedir:
Contoso ağa bağlı bulaşık makineleri
Sol üstten başlayıp saat yönünde hareket ediyor:
Microsoft, Azure Sphere Güvenlik Hizmeti üzerinden Azure Sphere işletim sistemine yönelik güncelleştirmeler yayımlar.
Contoso ürün mühendisliği, Azure Sphere Güvenlik Hizmeti aracılığıyla DW100 uygulamasına güncelleştirmeler yayınlar.
Azure Sphere Güvenlik Hizmeti, güncelleştirilmiş işletim sistemini ve Contoso DW100 uygulama yazılımını son kullanıcı konumlarında bulaşık makinelerine güvenli bir şekilde dağıtır.
Contoso bulaşık makinesi desteği, Azure Sphere yazılımının ve DW100 uygulama yazılımının her bir son kullanıcı cihazında hangi sürümünün çalışması gerektiğini belirlemek ve hizmete bildirilen hata raporlama verilerini depolamak için Azure Sphere Güvenlik Hizmeti ile iletişim kurar. Contoso bulaşık makinesi desteği, ek bilgi için Contoso bulut hizmetiyle de iletişim kurar.
Contoso bulut hizmetleri sorun giderme, veri analizi ve müşteri etkileşimi için uygulamaları destekler. Contoso'nun bulut hizmetleri Microsoft Azure, başka bir satıcının bulut hizmeti veya Contoso'nun kendi bulutu tarafından barındırılabilir.
Son kullanıcı konumlarındaki Contoso DW100 modelleri, Azure Sphere Güvenlik Hizmeti ile bağlantıları üzerinden güncelleştirilmiş işletim sistemi ve uygulama yazılımı indirir. Ayrıca contoso'nun bulut hizmeti uygulamasıyla iletişim kurarak ek verileri bildirebilirler.
Örneğin, bulaşık makinesindeki algılayıcılar su sıcaklığını, kurutma sıcaklığını ve durulama aracısı düzeyini izleyebilir ve bu verileri Contoso'nun bulut hizmetlerine yükleyebilir ve burada bir bulut hizmeti uygulaması olası sorunlar için analiz eder. Kurutma sıcaklığı olağan dışı derecede sıcak veya seyrek görünüyorsa (ki bu da arızalı bir parçaya işaret edebilir) tanılamayı uzaktan çalıştırır ve müşteriye onarım gerektiğini bildirir. Bulaşık makinesi garanti kapsamındaysa, bulut hizmeti uygulaması müşterinin yerel tamirhanesinin yedek parçaya sahip olmasını da sağlayarak bakım ziyaretlerini ve envanter gereksinimlerini azaltabilir. Benzer şekilde, durulama maddesi düşükse, bulaşık makinesi müşteriye doğrudan üreticiden daha fazla durulama aracısı satın alması için sinyal verebilir.
Tüm iletişimler güvenli, kimliği doğrulanmış bağlantılar üzerinden gerçekleşir. Contoso destek ve mühendislik personeli Azure Sphere Güvenlik Hizmeti, Microsoft Azure özellikleri veya Contoso'ya özgü bir bulut hizmeti uygulamasını kullanarak verileri görselleştirebilir. Contoso ayrıca, bulaşık makinesi sahiplerinin hizmet isteyebileceği, bulaşık makinesi kaynak kullanımını izleyebildiği veya başka bir şekilde şirketle etkileşim kurabileceği, müşteriye yönelik web ve mobil uygulamalar da sağlayabilir.
Contoso, Azure Sphere dağıtım araçlarını kullanarak her uygulama yazılımı güncelleştirmesini uygun bulaşık makinesi modeline hedefler ve Azure Sphere Güvenlik Hizmeti yazılım güncelleştirmelerini doğru cihazlara dağıtır. Bulaşık makinelerine yalnızca imzalı ve doğrulanmış yazılım güncelleştirmeleri yüklenebilir.
Azure Sphere ve yüksek oranda güvenli cihazların yedi özelliği
Azure Sphere platformunun birincil hedefi, yüksek değerli güvenliği düşük maliyetle sağlamaktır. Böylece, fiyat açısından hassas, mikrodenetleyici destekli cihazlar İnternet'e güvenli ve güvenilir bir şekilde bağlanabilir. Ağa bağlı oyuncaklar, gereçler ve diğer tüketici cihazları yaygınlaştıkçe, güvenlik son derece önemlidir. Cihaz donanımının güvenliğinin sağlanmasının yanında yazılım ve bulut bağlantılarının da güvenliği sağlanmalıdır. İşletim ortamında herhangi bir yerde güvenlik sorunları tüm ürünü ve potansiyel olarak yakındaki herhangi bir şeyi veya herkesi tehdit eder.
Microsoft'un onlarca yıllık internet güvenliği deneyimine dayanarak, Azure Sphere ekibi yüksek oranda güvenli cihazların yedi özelliğini belirledi. Azure Sphere platformu şu yedi özellik etrafında tasarlanmıştır:
Donanım tabanlı güven kökü. Donanım tabanlı bir güven kökü, cihazın ve kimliğinin ayrılmamasını sağlar, böylece cihaz sahteciliğini veya sahtekarlığını önler. Her Azure Sphere MCU, Microsoft tarafından tasarlanan Pluton güvenlik alt sistemi donanımı tarafından oluşturulan ve korunan, öngörülemeyen bir şifreleme anahtarıyla tanımlanır. Bu, fabrikadan son kullanıcıya güvenin kurcalamaya dayanıklı, güvenli bir donanım kökü olmasını sağlar.
Derinlemesine savunma. Derinlemesine savunma, birden çok güvenlik katmanı ve dolayısıyla her bir tehdide karşı birden çok risk azaltma sağlar. Azure Sphere platformundaki her yazılım katmanı, üzerindeki katmanın güvenli olduğunu doğrular.
Küçük güvenilir bilgi işlem tabanı. Cihazın yazılımının çoğu güvenilir bilgi işlem tabanının dışında kalır ve böylece saldırılar için yüzey alanı azalır. Yalnızca güvenli Güvenlik İzleyicisi, Pluton çalışma zamanı ve Pluton alt sistemi (hepsi Microsoft tarafından sağlanır) güvenilir bilgi işlem tabanında çalışır.
Dinamik bölmeler. Dinamik bölmeler tek bir hatanın ulaşmasını sınırlar. Azure Sphere MCU'ları, bir bileşendeki güvenlik ihlalinin diğer bileşenlere yayılmasını önlemek için donanım güvenlik duvarları da dahil olmak üzere silikon karşı önlemleri içerir. Kısıtlanmış, "korumalı" çalışma zamanı ortamı, uygulamaların güvenli kod veya verileri bozmasını önler.
Parolasız kimlik doğrulaması. Öngörülemeyen bir şifreleme anahtarıyla doğrulanan imzalı sertifikaların kullanılması, parolalardan çok daha güçlü kimlik doğrulaması sağlar. Azure Sphere platformu, her yazılım öğesinin imzalanması gerekir. Cihazdan buluta ve buluttan cihaza iletişimler, sertifikalarla elde edilen daha fazla kimlik doğrulaması gerektirir.
Hata raporlama. Cihaz yazılımı veya donanımındaki hatalar, yeni ortaya çıkan güvenlik saldırılarında tipiktir; cihaz hatasına neden olan hatalar bir hizmet reddi saldırısı oluşturur. Cihazdan buluta iletişim olası hatalar için erken uyarı sağlar. Azure Sphere cihazları, işletimsel verileri ve hataları bulut tabanlı bir analiz sistemine otomatik olarak bildirebilir ve güncelleştirmeler ve hizmetler uzaktan gerçekleştirilebilir.
Yenilenebilir güvenlik. Cihaz yazılımı, ürün üreticisinin veya son kullanıcının müdahalesi gerekmeyen bilinen güvenlik açıklarını veya güvenlik ihlallerini düzeltecek şekilde otomatik olarak güncelleştirilir . Azure Sphere Güvenlik Hizmeti, Azure Sphere işletim sistemini ve uygulamalarınızı otomatik olarak güncelleştirir.
Azure Sphere mimarisi
Azure Sphere donanım, yazılım ve Güvenlik Hizmeti birlikte çalışarak cihaz bakımı, denetimi ve güvenliğine yönelik benzersiz, tümleşik yaklaşımlar sağlar.
Donanım mimarisi, bağlı cihazlar için temel olarak güvenli bir bilgi işlem tabanı sağlayarak ürününüz üzerinde odaklanmanızı sağlar.
Microsoft tarafından yazılan Güvenlik İzleyicisi'nin üzerinde çalışan güvenli bir özel işletim sistemi çekirdeğine sahip yazılım mimarisi, benzer şekilde yazılım çalışmalarınızı katma değerli IoT ve cihaza özgü özelliklere yoğunlaştırmanızı sağlar.
Azure Sphere Güvenlik Hizmeti, güvenli buluttan cihaza ve cihazdan buluta kanallar üzerinden kimlik doğrulamasını, yazılım güncelleştirmelerini ve hata raporlamayı destekler. Sonuç, ürünlerinizin en güncel Azure Sphere işletim sistemini çalıştırmasını sağlayan güvenli bir bağlantı altyapısıdır. Mimari diyagramları ve bulut mimari örnekleri için bkz . Azure Mimarilerine Göz Atma.
Donanım mimarisi
Azure Sphere crossover MCU, aşağıdaki şekilde gösterildiği gibi tek bir zar üzerinde birden çok çekirdek içerir.
Azure Sphere MCU donanım mimarisi
Her çekirdek ve ilişkili alt sistemi farklı bir güven etki alanındadır. Güven kökü Pluton güvenlik alt sisteminde bulunur. Mimarinin her katmanı, üzerindeki katmanın gizliliğinin aşılmış olabileceğini varsayar. Her katmanda kaynak yalıtımı ve dinamik bölmeler ek güvenlik sağlar.
Microsoft Pluton güvenlik alt sistemi
Pluton güvenlik alt sistemi, Azure Sphere için donanım tabanlı (silikon) güvenli güven köküdür. Güvenlik işlemci çekirdeği, şifreleme altyapıları, donanım rastgele sayı oluşturucu, genel/özel anahtar oluşturma, asimetrik ve simetrik şifreleme, güvenli önyükleme için üç nokta eğrisi dijital imza algoritması (ECDSA) doğrulaması desteği ve bulut hizmetiyle uzaktan kanıtlamayı desteklemek için silikonda ölçülen önyüklemenin yanı sıra entropi algılama birimi de dahil olmak üzere çeşitli kurcalama karşı önlemleri içerir.
Güvenli önyükleme işleminin bir parçası olarak, Pluton alt sistemi çeşitli yazılım bileşenlerini önyükler. Ayrıca çalışma zamanı hizmetleri sağlar, cihazın diğer bileşenlerinden gelen istekleri işler ve cihazın diğer bölümleri için kritik bileşenleri yönetir.
Üst düzey uygulama çekirdeği
Üst düzey uygulama çekirdeği, tam bellek yönetim birimine (MMU) sahip bir ARM Cortex-A alt sistemine sahiptir. Güven bölgesi işlevselliğini kullanarak işlemlerin donanım tabanlı bölümlere ayırmasını sağlar ve işletim sistemini, üst düzey uygulamaları ve hizmetleri çalıştırmakla sorumludur. İki işletim ortamı destekler: hem kullanıcı modunda hem de gözetmen modunda kod çalıştıran Normal World (NW) ve yalnızca Microsoft tarafından sağlanan Güvenlik İzleyicisi'ni çalıştıran Secure World (SW). Üst düzey uygulamalarınız NW kullanıcı modunda çalışır.
Gerçek zamanlı çekirdekler
Gerçek zamanlı çekirdekler, gerçek zamanlı uygulamaları çıplak kod veya gerçek zamanlı işletim sistemi (RTOS) olarak çalıştırabilen bir ARM Cortex-M G/Ç alt sistemine sahiptir. Bu tür uygulamalar çevre birimlerini eşleyebilir ve üst düzey uygulamalarla iletişim kurabilir, ancak İnternet'e doğrudan erişemez.
Bağlantı ve iletişim
İlk Azure Sphere MCU, hem 2,4 GHz hem de 5 GHz'de çalışan bir 802.11 b/g/n Wi-Fi radyosu sağlar. Üst düzey uygulamalar kablosuz iletişim alt sistemini yapılandırabilir, kullanabilir ve sorgulayabilir, ancak doğrudan programlayamaz. Wi-Fi kullanımına ek olarak veya yerine, düzgün bir şekilde donatılmış Azure Sphere cihazları bir Ethernet ağında iletişim kurabilir.
Çoğullanmış G/Ç
Azure Sphere platformu, ekli cihazları pazar ve ürün gereksinimlerinize uyacak şekilde yapılandırabilmeniz için çeşitli G/Ç özelliklerini destekler. G/Ç çevre birimleri üst düzey uygulama çekirdeğine veya gerçek zamanlı bir çekirdekle eşlenebilir.
Microsoft güvenlik duvarları
Donanım güvenlik duvarları, G/Ç çevre birimlerinin yalnızca eşlendikleri çekirdek için erişilebilir olmasını sağlamak için "korumalı alan" koruması sağlayan silikon karşı önlemlerdir. Güvenlik duvarları bölmelere ayırma uygular ve böylece üst düzey uygulama çekirdeğinde yerelleştirilmiş bir güvenlik tehdidinin gerçek zamanlı çekirdeklerin çevre birimlerine erişimini etkilemesini önler.
Tümleşik RAM ve flaş
Azure Sphere MCU'ları en az 4 MB tümleşik RAM ve 16 MB tümleşik flash bellek içerir.
Yazılım mimarisi ve işletim sistemi
Üst düzey uygulama platformu, Azure Sphere işletim sistemini hem İnternet ile hem de gerçek zamanlı çekirdekler üzerinde çalışan gerçek zamanlı özellikli uygulamalarla iletişim kurabilen cihaza özgü üst düzey bir uygulamayla birlikte çalıştırır. Aşağıdaki şekilde bu platformun öğeleri gösterilmektedir.
Microsoft tarafından sağlanan öğeler gri renkte gösterilir.
Üst Düzey Uygulama Platformu
Microsoft, cihazınıza özgü uygulamalar dışındaki tüm yazılımları sağlar ve korur. Üst düzey uygulama da dahil olmak üzere cihazda çalışan tüm yazılımlar Microsoft sertifika yetkilisi (CA) tarafından imzalanır. Uygulama güncelleştirmeleri güvenilir Microsoft işlem hattı üzerinden teslim edilir ve her güncelleştirmenin Azure Sphere cihaz donanımıyla uyumluluğu yüklemeden önce doğrulanır.
Uygulama çalışma zamanı
Microsoft tarafından sağlanan uygulama çalışma zamanı POSIX standardının bir alt kümesini temel alır. NW kullanıcı modunda çalışan kitaplıklardan ve çalışma zamanı hizmetlerinden oluşur. Bu, oluşturduğunuz üst düzey uygulamaları Çevre desteği.
Uygulama kitaplıkları, üst düzey uygulamaların gerektirdiği ağ, depolama ve iletişim özelliklerini destekler, ancak diğer kısıtlamaların yanında doğrudan genel dosya G/Ç veya kabuk erişimini desteklemez. Bu kısıtlamalar, platformun güvenli kalmasını ve Microsoft'un güvenlik ve bakım güncelleştirmeleri sağlayabilmesini sağlar. Buna ek olarak, kısıtlanmış kitaplıklar, sistem yazılımının uygulamalar için ikili uyumluluğu korurken güvenliği artıracak şekilde güncelleştirilebilmesi için uzun süreli kararlı bir API yüzeyi sağlar.
İşletim sistemi hizmetleri
İşletim sistemi hizmetleri üst düzey uygulama kapsayıcısını barındırır ve Azure Sphere Güvenlik Hizmeti ile iletişim kurmakla sorumludur. Tüm giden trafik için ağ kimlik doğrulamasını ve ağ güvenlik duvarını yönetir. Geliştirme sırasında işletim sistemi hizmetleri ayrıca bağlı bir bilgisayarla ve hata ayıklanan uygulamayla iletişim kurar.
Özel Linux çekirdeği
Özel Linux tabanlı çekirdek, bir önyükleme yükleyicisi ile birlikte gözetmen modunda çalışır. Çekirdek, Azure Sphere MCU'nun flash ve RAM ayak izi için dikkatlice ayarlanır. Ayrı sanal adres alanlarında kullanıcı alanı işlemlerinin önceden başlatılabilir yürütülmesi için bir yüzey sağlar. Sürücü modeli, MCU çevre birimlerini işletim sistemi hizmetleri ve uygulamalarına sunar. Azure Sphere sürücüleri arasında Wi-Fi (TCP/IP ağ yığını içeren), UART, SPI, I2C ve GPIO bulunur.
Güvenlik İzleyicisi
Microsoft tarafından sağlanan Güvenlik İzleyicisi SW'de çalışır. Bellek, flash ve diğer paylaşılan MCU kaynakları gibi güvenlik açısından hassas donanımların korunması ve bu kaynaklara güvenli bir şekilde sınırlı erişimin açığa çıkartılması sorumludur. Güvenlik İzleyicisi aracıları ve geçitleri, Pluton Güvenlik Alt Sistemi'ne ve güvenin donanım köküne erişim sağlar ve NW ortamı için bir izleme sunucusu görevi görür. Önyükleme yükleyicisini başlatır, çalışma zamanı hizmetlerini NW'ye sunar ve NW tarafından erişilmeyen donanım güvenlik duvarlarını ve diğer silikon bileşenlerini yönetir.
Azure Sphere Güvenlik Hizmeti
Azure Sphere Güvenlik Hizmeti üç bileşenden oluşur: parolasız kimlik doğrulaması, güncelleştirme ve hata raporlama.
Parolasız kimlik doğrulaması. Kimlik doğrulama bileşeni, uzaktan kanıtlama ve parolasız kimlik doğrulaması sağlar. Uzaktan kanıtlama hizmeti, Pluton alt sistemindeki ölçülen önyükleme özelliğini kullanan bir sınama yanıtı protokolü aracılığıyla bağlanır. Cihazın yalnızca doğru yazılımla değil, aynı zamanda doğru yazılım sürümüyle önyüklendiğini doğrular.
Kanıtlama başarılı olduktan sonra kimlik doğrulama hizmeti devralır. Kimlik doğrulama hizmeti güvenli bir TLS bağlantısı üzerinden iletişim kurar ve cihazın Microsoft Azure veya şirketin özel bulutu gibi bir web hizmetine sunabileceği bir sertifika verir. Web hizmeti sertifika zincirini doğrular, böylece cihazın orijinal olduğunu, yazılımının güncel olduğunu ve Microsoft'un kaynağı olduğunu doğrular. Cihaz daha sonra çevrimiçi hizmetle güvenli ve güvenli bir şekilde bağlanabilir.
Güncelleştirme. Güncelleştirme hizmeti, Azure Sphere işletim sistemi ve uygulamalar için otomatik güncelleştirmeleri dağıtır. Güncelleştirme hizmeti, işlemin devam etmesini sağlar ve uygulama yazılımının uzaktan bakım ve güncelleştirmesini etkinleştirir.
Hata raporlama. Hata raporlama hizmeti, dağıtılan yazılımlar için basit kilitlenme raporlaması sağlar. Daha zengin veriler elde etmek için Microsoft Azure aboneliğine dahil edilen raporlama ve analiz özelliklerini kullanın.
Azure Sphere Güvenlik Hizmeti ile depolanan tüm veriler varsayılan olarak bekleme sırasında şifrelenir. Güvenlik Hizmeti verileri Azure Depolama, Azure Cosmos DB ve Azure Key Vault'ta depolar ve bu tür her hizmet için bekleyen veri şifrelemesini kullanır.