Azure IoT Edge güvenlik yöneticisi

Şunlar için geçerlidir:IoT Edge 1.4 onay işareti IoT Edge 1.4

Azure IoT Edge güvenlik yöneticisi, güvenli silikon donanımı soyutlayarak IoT Edge cihazı ve tüm bileşenlerini korumaya yönelik iyi sınırlanmış bir güvenlik çekirdeğidir. Güvenlik yöneticisi, güvenlik sağlamlaştırma odak noktasıdır ve orijinal ekipman üreticilerine (OEM) teknoloji tümleştirme noktası sağlar.

Güvenlik yöneticisi, IoT Edge bir cihazdaki güvenli silikon donanımı soyutlar ve ek güvenlik hizmetleri için bir genişletilebilirlik çerçevesi sağlar.

IoT Edge güvenlik yöneticisi, IoT Edge cihazının ve tüm doğal yazılım işlemlerinin bütünlüğünü korumayı amaçlar. Güvenlik yöneticisi güveni güven donanımının temel donanım kökünden (varsa) IoT Edge çalışma zamanını önyüklemek ve devam eden işlemleri izlemek için geçirmektedir. IoT Edge güvenlik yöneticisi, mümkün olan en yüksek güvenlik güvencelerini sağlamaya yardımcı olmak için güvenli silikon donanımla (varsa) birlikte çalışan bir yazılımdır.

Ek olarak, IoT Edge güvenlik yöneticisi konak düzeyi modüller aracılığıyla güvenlik hizmeti uzantıları için güvenli bir çerçeve sağlar. Bu hizmetler, cihazın içindeki aracıların cihazın bazı bileşenlerine ayrıcalıklı erişimi olmasını gerektiren güvenlik izleme ve güncelleştirmeleri içerir. Genişletilebilirlik çerçevesi, bu tür tümleştirmelerin genel sistem güvenliğini tutarlı bir şekilde korumasını sağlar.

IoT Edge güvenlik yöneticisinin sorumlulukları şunlardır ancak bunlarla sınırlı değildir:

  • Azure IoT Edge cihazını önyükleme.
  • Noter hizmetleri aracılığıyla cihaz donanım güven köküne erişimi denetleme.
  • Çalışma zamanında IoT Edge işlemlerinin bütünlüğünü izleyin.
  • Cihaz kimliğini sağlayın ve uygun olduğunda güven geçişini yönetin.
  • IoT Hub için Cihaz Güncelleştirmesi ve IoT için Microsoft Defender dahil olmak üzere hizmetler için istemci aracılarının güvenli bir şekilde çalıştığından emin olun.

IoT Edge güvenlik yöneticisi üç bileşenden oluşur:

  • IoT Edge modülü çalışma zamanı
  • PKCS#11 ve Güvenilir Platform Modülü (TPM) gibi standart uygulamalar aracılığıyla donanım güvenlik modülü (HSM) soyutlamaları
  • Güven veya HSM'nin donanım silikon kökü (isteğe bağlı, ancak kesinlikle önerilir)

Sürüm 1.2 ve üzeri değişiklikler

IoT Edge 1.0 ve 1.1 sürümlerinde, güvenlik yöneticisinin mantıksal güvenlik işlemlerinden güvenlik daemon'u adlı bir bileşen sorumludur. Sürüm 1.2 güncelleştirmesinde , Azure IoT Kimlik Hizmeti güvenlik alt sistemine çeşitli önemli sorumluluklar devredildi. Bu güvenlik tabanlı görevler güvenlik daemon'ından kaldırıldıktan sonra adı artık anlamlı değildir. Bu bileşenin sürüm 1.2 ve sonrasında yaptığı işi daha iyi yansıtmak için bunu modül çalışma zamanı olarak yeniden adlandırdık.

IoT Edge modülü çalışma zamanı

IoT Edge modülü çalışma zamanı, IoT Edge kapsayıcı çalışma zamanı ortamını korumak için Azure IoT Kimlik Hizmeti güvenlik alt sisteminden güveni temsil eder. Azure IoT Kimlik Hizmeti'ne devredilen hizmetlerden biri, EST sunucusu aracılığıyla otomatik sertifika kayıt ve yenileme hizmetidir. Bunun nasıl çalıştığını görmek ve IoT Edge bir cihaz için oluşturulmuş örnek bir EST sunucusu oluşturmak için Azure IoT Edge için Güvenli Aktarım Sunucusu Üzerinden Kaydı Yapılandırma öğreticisini deneyin.

Modül çalışma zamanı, güvenlik yöneticisinin mantıksal güvenlik işlemlerinden sorumludur. IoT Edge cihazının güvenilir bilgi işlem tabanının önemli bir bölümünü temsil eder. Modül çalışma zamanı, cihaz üreticisinin donanım güvenlik modülü (HSM) tercihi tarafından güçlendirilen IoT Kimlik Hizmeti'ndeki güvenlik hizmetlerini kullanır. Cihaz sağlamlaştırma için HSM'lerin kullanılmasını kesinlikle öneririz.

Tasarım ilkeleri

IoT Edge iki temel ilkeyi izler: operasyonel bütünlüğü en üst düzeye çıkarın ve şişkinliği ve değişim sıklığı en aza indirin.

Operasyonel bütünlüğü en üst düzeye çıkarma

IoT Edge modülü çalışma zamanı, belirli bir güven donanımı kökünün savunma özelliği içinde mümkün olan en yüksek bütünlükle çalışır. Doğru tümleştirme ile güven donanımının kökü, kurcalamaya karşı durabilmek için güvenlik daemon'unu statik olarak ve çalışma zamanında ölçer ve izler.

Cihazlara kötü amaçlı fiziksel erişim her zaman IoT'de bir tehdittir. Güvenin donanım kökü, IoT Edge cihazının bütünlüğünü korumada önemli bir rol oynar. Güvenin donanım kökü iki çeşitte gelir:

  • Gizli diziler ve şifreleme anahtarları gibi hassas bilgilerin korunması için güvenli öğeler.
  • Anahtarlar gibi gizli dizilerin ve gizli makine öğrenmesi modelleri ile ölçüm işlemleri gibi hassas iş yüklerinin korunması için kuşatmaların güvenliğini sağlayın.

Güvenin donanım kökünü kullanmak için iki tür yürütme ortamı vardır:

  • Hassas bilgileri korumak için güvenli öğelerin kullanılmasına dayanan standart veya zengin yürütme ortamı (REE).
  • Hassas bilgileri korumak ve yazılım yürütmeye karşı koruma sağlamak için güvenli kapanım teknolojisinin kullanılmasına güvenen güvenilir yürütme ortamı (TEE).

Güvenin donanım kökü olarak güvenli kuşatmalar kullanan cihazlarda, IoT Edge modülü çalışma zamanı içindeki hassas mantık kapanım içinde olmalıdır. Modül çalışma zamanının hassas olmayan bölümleri TEE'nin dışında olabilir. Her durumda, özgün tasarım üreticilerinin (ODM) ve özgün ekipman üreticilerinin (OEM) önyükleme ve çalışma zamanında IoT Edge modülü çalışma zamanının bütünlüğünü ölçmek ve savunmak için HSM'lerinden güven genişletmelerini kesinlikle öneririz.

Şişkinliği ve değişim sıklığı en aza indirme

IoT Edge modülü çalışma zamanı için bir diğer temel ilke de değişim sıklığının en aza indirilmesidir. En yüksek güven düzeyi için IoT Edge modülü çalışma zamanı, cihaz donanım güven köküyle sıkı bir şekilde ilişkilendirilebilir ve yerel kod olarak çalışabilir. Bu gibi durumlarda, IoT Edge yazılımının işletim sisteminin güncelleştirme mekanizmaları yerine güvenin güvenli güncelleştirme yollarının donanım kökü aracılığıyla güncelleştirililmesi yaygın bir durumdur ve bu zor olabilir. IoT cihazları için güvenlik yenilemesi önerilir, ancak aşırı güncelleştirme gereksinimleri veya büyük güncelleştirme yükleri tehdit yüzeyini birçok şekilde genişletebilir. Örneğin, cihaz kullanılabilirliğini en üst düzeye çıkarmak için bazı güncelleştirmeleri atlamak isteyebilirsiniz. Bu nedenle, sık güncelleştirmeleri teşvik etmek için iyi yalıtılmış güvenilir bilgi işlem tabanını küçük tutmak için IoT Edge modülü çalışma zamanının tasarımı kısadır.

Mimari

IoT Edge modülü çalışma zamanı, güvenlik sağlamlaştırma için güven teknolojisinin kullanılabilir donanım köklerinden yararlanır. Ayrıca, donanım teknolojileri güvenilir yürütme ortamları sunduğunda standart/zengin yürütme ortamı (REE) ile güvenilir yürütme ortamı (TEE) arasında bölünmüş dünya işlemine olanak tanır. Role özgü arabirimler, IoT Edge cihazının ve işlemlerinin bütünlüğünü sağlamak için IoT Edge ana bileşenlerini etkinleştirir.

Azure IoT Edge modülü çalışma zamanı mimarisi

Bulut arabirimi

Bulut arabirimi, cihaz güvenliğini tamamlayan bulut hizmetlerine erişim sağlar. Örneğin, bu arabirim cihaz kimliği yaşam döngüsü yönetimi için Cihaz Sağlama Hizmeti'ne erişim sağlar.

Yönetim API'si

Yönetim API'si, IoT Edge modülü oluştururken/başlatırken/durdururken/kaldırırken IoT Edge aracısı tarafından çağrılır. Modül çalışma zamanı tüm etkin modüller için "kayıtları" depolar. Bu kayıtlar modülün kimliğini modülün bazı özellikleriyle eşler. Örneğin, bu modül özellikleri kapsayıcıda çalışan işlemin işlem tanımlayıcısını (pid) ve docker kapsayıcısının içeriğinin karması içerir.

Bu özellikler iş yükü API'si tarafından (aşağıda açıklanmıştır) çağıranın bir eylem için yetkilendirildiğini doğrulamak için kullanılır.

Yönetim API'si, yalnızca IoT Edge aracısından çağrılabilen ayrıcalıklı bir API'dir. IoT Edge modülü çalışma zamanı IoT Edge aracısını önyükleyip başlattığından, IoT Edge aracısının üzerinde oynanmadığını doğrular, ardından IoT Edge aracısı için örtük bir kayıt oluşturabilir. İş yükü API'sinin kullandığı kanıtlama işlemi, yönetim API'sine erişimi yalnızca IoT Edge aracıyla kısıtlar.

Kapsayıcı API'si

Kapsayıcı API'si, Moby veya Docker gibi modül yönetimi için kullanılan kapsayıcı sistemiyle etkileşim kurar.

İş Yükü API'si

İş yükü API'sine tüm modüller tarafından erişilebilir. HSM köklü imzalı belirteç veya X509 sertifikası ve bir modüle karşılık gelen güven paketi olarak kimlik kanıtı sağlar. Güven paketi, modüllerin güvenmesi gereken diğer tüm sunucular için CA sertifikaları içerir.

IoT Edge modülü çalışma zamanı, bu API'yi korumak için bir kanıtlama işlemi kullanır. Modül bu API'yi çağırdığında modül çalışma zamanı kimlik için bir kayıt bulmaya çalışır. Başarılı olursa, modülü ölçmek için kaydın özelliklerini kullanır. Ölçüm işleminin sonucu kayıtla eşleşiyorsa yeni bir kimlik kanıtı oluşturulur. Modüle karşılık gelen CA sertifikaları (güven paketi) döndürülür. Modül, IoT Hub, diğer modüllere bağlanmak veya bir sunucu başlatmak için bu sertifikayı kullanır. İmzalı belirteç veya sertifikanın süresi dolmak üzere olduğunda, yeni bir sertifika istemek modülün sorumluluğundadır.

Tümleştirme ve bakım

Microsoft, github'da IoT Edge modülü çalışma zamanı ve Azure IoT kimlik hizmeti için ana kod tabanını korur.

IoT Edge kod tabanını okurken, modül çalışma zamanınıngüvenlik daemon'undan geliştiğini unutmayın. Kod tabanı yine de güvenlik daemon'una başvurular içerebilir.

Yükleme ve güncelleştirmeler

IoT Edge modülü çalışma zamanının yüklenmesi ve güncelleştirmeleri işletim sisteminin paket yönetim sistemi aracılığıyla yönetilir. Donanım güven köküne sahip IoT Edge cihazlar, güvenli önyükleme ve güncelleştirme yönetim sistemleri aracılığıyla yaşam döngüsünü yöneterek modül çalışma zamanının bütünlüğüne ek sağlamlaştırma sağlamalıdır. Cihaz oluşturucuların ilgili cihaz özelliklerine göre bu yolları keşfetmesi gerekir.

Sürüm Oluşturma

IoT Edge çalışma zamanı, IoT Edge modülü çalışma zamanının sürümünü izler ve bildirir. Sürüm, IoT Edge aracısı modülü bildirilen özelliğinin runtime.platform.version özniteliği olarak bildirilir.

Donanım güvenlik modülü

IoT Edge güvenlik yöneticisi, donanım güvenlik modüllerini (HSM) tümleştirmek için Güvenilir Platform Modülü ve PKCS#11 arabirim standartlarını uygular. Bu standartlarla, özel arabirimlere sahip olanlar da dahil olmak üzere neredeyse tüm HSM'ler entegre edilebilir. Güvenlik sağlamlaştırma için HSM'lerin kullanılmasını kesinlikle öneririz.

Güven donanımının güvenli silikon kökü

Güvenli silikon, IoT Edge cihaz donanımına güven sağlamak için gereklidir. Güvenli silikon Güvenilir Platform Modülü (TPM), katıştırılmış Güvenli Öğe (eSE), Arm TrustZone, Intel SGX ve özel güvenli silikon teknolojilerini içerecek çeşitli özelliklere sahiptir. IoT cihazlarının fiziksel erişilebilirliğiyle ilişkili tehditler göz önünde bulundurulduğunda, cihazlarda güvenin güvenli silikon kökünün kullanılması önerilir.

IoT Edge güvenlik yöneticisi, özel sağlamlaştırma için Azure IoT Edge platformunun güvenliğini ve bütünlüğünü savunan bileşenleri tanımlamayı ve yalıtmayı amaçlar. Cihaz oluşturucular gibi üçüncü taraflar, cihaz donanımlarında bulunan özel güvenlik özelliklerinden yararlanmalıdır.

Yazılım veya sanal TPM'leri kullanarak Güvenilir Platform Modülü (TPM) ile Azure IoT güvenlik yöneticisini sağlamlaştırmayı öğrenin:

Linux üzerinde sanal TPM veya Windows üzerinde Linux ile IoT Edge cihaz oluşturun ve sağlayın.

Sonraki adımlar

IoT Edge cihazlarınızın güvenliğini sağlama hakkında daha fazla bilgi edinmek için aşağıdaki blog gönderilerini okuyun: