Azure IoT Edge güvenlik yöneticisi
Şunlar için geçerlidir:
IoT Edge 1.4
Önemli
IoT Edge 1.4 desteklenen sürümdür. Önceki bir sürümdeyseniz bkz. IoT Edge’i güncelleştirme.
Azure IoT Edge güvenlik yöneticisi, güvenli silikon donanımını soyutlayarak IoT Edge cihazını ve tüm bileşenlerini korumaya yönelik iyi sınırlanmış bir güvenlik çekirdeğidir. Güvenlik yöneticisi, güvenlik sağlamlaştırmanın odak noktasıdır ve özgün ekipman üreticilerine (OEM) teknoloji tümleştirme noktası sağlar.
Güvenlik yöneticisi, IoT Edge cihazındaki güvenli silikon donanımını soyutlar ve ek güvenlik hizmetleri için bir genişletilebilirlik çerçevesi sağlar.
IoT Edge güvenlik yöneticisi, IoT Edge cihazının ve tüm doğal yazılım işlemlerinin bütünlüğünü savunmayı amaçlar. Güvenlik yöneticisi, Güven donanımının temel donanım kökünden güveni (varsa) geçirerek IoT Edge çalışma zamanını önyükler ve devam eden işlemleri izler. IoT Edge güvenlik yöneticisi, mümkün olan en yüksek güvenlik güvencelerini sağlamaya yardımcı olmak için güvenli silikon donanımıyla (varsa) birlikte çalışan bir yazılımdır.
Ayrıca IoT Edge güvenlik yöneticisi, konak düzeyinde modüller aracılığıyla güvenlik hizmeti uzantıları için güvenli bir çerçeve sağlar. Bu hizmetler, cihazın bazı bileşenlerine ayrıcalıklı erişimi olan cihaz içindeki aracıları gerektiren güvenlik izleme ve güncelleştirmeleri içerir. Genişletilebilirlik çerçevesi, bu tür tümleştirmelerin sürekli olarak genel sistem güvenliğini korumasını sağlar.
IoT Edge güvenlik yöneticisinin sorumlulukları şunlardır ancak bunlarla sınırlı değildir:
- Azure IoT Edge cihazını önyükleme.
- Noter hizmetleri aracılığıyla cihaz donanım güven köküne erişimi denetleyin.
- Çalışma zamanında IoT Edge işlemlerinin bütünlüğünü izleyin.
- Cihaz kimliğini sağlayın ve uygun olduğunda güven geçişini yönetin.
- IoT Hub için Cihaz Güncelleştirmesi ve IoT için Microsoft Defender dahil olmak üzere hizmetler için istemci aracılarının güvenli bir şekilde çalıştığından emin olun.
IoT Edge güvenlik yöneticisi üç bileşenden oluşur:
- IoT Edge modülü çalışma zamanı
- PKCS#11 ve Güvenilen Platform Modülü (TPM) gibi standart uygulamalar aracılığıyla donanım güvenlik modülü (HSM) soyutlamaları
- Güven veya HSM'nin donanım silikon kökü (isteğe bağlı, ancak kesinlikle önerilir)
Sürüm 1.2 ve sonraki sürümlerdeki değişiklikler
IoT Edge'in 1.0 ve 1.1 sürümlerinde, güvenlik yöneticisinin mantıksal güvenlik işlemlerinden güvenlik daemon'ı adlı bir bileşen sorumludur. Sürüm 1.2'ye yapılan güncelleştirmede, Azure IoT Kimlik Hizmeti güvenlik alt sistemine birkaç önemli sorumluluk devredildi. Bu güvenlik tabanlı görevler güvenlik daemon'undan kaldırıldıktan sonra adı artık anlamlı değildi. Bu bileşenin sürüm 1.2 ve sonrasında yaptığı işi daha iyi yansıtmak için modül çalışma zamanı olarak yeniden adlandırdık.
IoT Edge modülü çalışma zamanı
IoT Edge modülü çalışma zamanı, IoT Edge kapsayıcı çalışma zamanı ortamını korumak için Azure IoT Kimlik Hizmeti güvenlik alt sisteminden güveni temsil eder. Azure IoT Kimlik Hizmeti'ne devredilen hizmetlerden biri, BIR EST sunucusu aracılığıyla otomatik sertifika kaydı ve yenileme hizmetidir. Bunun nasıl çalıştığını görmek ve ioT Edge cihazı için oluşturulmuş örnek bir EST sunucusu oluşturmak için Azure IoT Edge için Güvenli Aktarım Sunucusu üzerinden Kaydı Yapılandırma öğreticisini deneyin.
Modül çalışma zamanı, güvenlik yöneticisinin mantıksal güvenlik işlemlerinden sorumludur. IoT Edge cihazının güvenilir bilgi işlem tabanının önemli bir bölümünü temsil eder. Modül çalışma zamanı, cihaz üreticisinin tercih ettiği donanım güvenlik modülü (HSM) tarafından güçlendirilen IoT Kimlik Hizmeti'nden güvenlik hizmetlerini kullanır. Cihaz sağlamlaştırma için HSM'lerin kullanılmasını kesinlikle öneririz.
Tasarım ilkeleri
IoT Edge iki temel ilkeyi izler: operasyonel bütünlüğü en üst düzeye çıkarın, şişirme ve değişim oranını en aza indirin.
Operasyonel bütünlüğü en üst düzeye çıkarma
IoT Edge modülü çalışma zamanı, belirli bir güven donanımı kökünün savunma özelliği içinde mümkün olan en yüksek bütünlükle çalışır. Doğru tümleştirme sayesinde, güven donanımının kökü kurcalamaya karşı dayanıklı olmak için güvenlik daemon'unu statik olarak ve çalışma zamanında ölçer ve izler.
Cihazlara kötü amaçlı fiziksel erişim, IoT'de her zaman bir tehdittir. Güvenin donanım kökü, IoT Edge cihazının bütünlüğünün savunulmasında önemli bir rol oynar. Güvenin donanım kökü iki çeşitte gelir:
- Gizli diziler ve şifreleme anahtarları gibi hassas bilgilerin korunması için güvenli öğeler.
- Anahtarlar gibi gizli dizilerin ve gizli makine öğrenmesi modelleri ve ölçüm işlemleri gibi hassas iş yüklerinin korunması için kuşatmaların güvenliğini sağlayın.
Güvenin donanım kökünü kullanmak için iki tür yürütme ortamı vardır:
- Hassas bilgileri korumak için güvenli öğelerin kullanılmasına dayanan standart veya zengin yürütme ortamı (REE).
- Hassas bilgileri korumak ve yazılım yürütmeye koruma sağlamak için güvenli kapanım teknolojisini kullanan güvenilir yürütme ortamı (TEE).
Güvenin donanım kökü olarak güvenli kuşatmalar kullanan cihazlar için IoT Edge modülü çalışma zamanı içindeki hassas mantık kapanım içinde olmalıdır. Modül çalışma zamanının hassas olmayan bölümleri TEE'nin dışında olabilir. Her durumda, önyükleme ve çalışma zamanında IoT Edge modülü çalışma zamanının bütünlüğünü ölçmek ve savunmak için özgün tasarım üreticilerinin (ODM) ve orijinal ekipman üreticilerinin (OEM) HSM'lerinden güveni genişletmelerini kesinlikle öneririz.
Şişkinliği ve değişim sıklığı en aza indirme
IoT Edge modülü çalışma zamanının bir diğer temel ilkesi de değişim oranını en aza indirmektir. En yüksek güven düzeyi için IoT Edge modülü çalışma zamanı, güvenin cihaz donanım köküyle sıkı bir şekilde ilişkilendirilebilir ve yerel kod olarak çalışabilir. Bu gibi durumlarda IoT Edge yazılımının işletim sisteminin güncelleştirme mekanizmaları yerine güvenin güvenli güncelleştirme yollarının donanım kökü üzerinden güncelleştirililmesi yaygın bir durumdur ve bu zor olabilir. IoT cihazları için güvenlik yenilemesi önerilir, ancak aşırı güncelleştirme gereksinimleri veya büyük güncelleştirme yükleri tehdit yüzeyini birçok yolla genişletebilir. Örneğin, cihaz kullanılabilirliğini en üst düzeye çıkarmak için bazı güncelleştirmeleri atlayabilirsiniz. Bu nedenle, sık güncelleştirmeleri teşvik etmek için iyi yalıtılmış güvenilir bilgi işlem tabanını küçük tutmak için IoT Edge modülü çalışma zamanının tasarımı kısadır.
Mimari
IoT Edge modülü çalışma zamanı, güvenlik sağlamlaştırma için güven teknolojisinin kullanılabilir donanım köklerinden yararlanır. Ayrıca, donanım teknolojileri güvenilir yürütme ortamları sunduğunda standart/zengin yürütme ortamı (REE) ile güvenilir yürütme ortamı (TEE) arasında bölünmüş dünya işlemine olanak tanır. Role özgü arabirimler, IoT Edge cihazının ve işlemlerinin bütünlüğünü sağlamak için IoT Edge'in ana bileşenlerini etkinleştirir.
Bulut arabirimi
Bulut arabirimi, cihaz güvenliğini tamamlayan bulut hizmetlerine erişim sağlar. Örneğin, bu arabirim cihaz kimliği yaşam döngüsü yönetimi için Cihaz Sağlama Hizmeti'ne erişim sağlar.
Yönetim API’si
Yönetim API'si, IoT Edge modülü oluşturulurken/başlatılırken/durdurulduğunda/kaldırılırken IoT Edge aracısı tarafından çağrılır. Modül çalışma zamanı tüm etkin modüller için "kayıtları" depolar. Bu kayıtlar modülün kimliğini modülün bazı özellikleriyle eşler. Örneğin, bu modül özellikleri kapsayıcıda çalışan işlemin işlem tanımlayıcısını (pid) ve docker kapsayıcısının içeriğinin karması içerir.
Bu özellikler, çağıranın bir eylem için yetkilendirildiğini doğrulamak için iş yükü API'si (aşağıda açıklanmıştır) tarafından kullanılır.
Yönetim API'si, yalnızca IoT Edge aracısından çağrılabilen ayrıcalıklı bir API'dir. IoT Edge modülü çalışma zamanı IoT Edge aracısını önyükleyip başlattığından, IoT Edge aracısının üzerinde oynanmadığını doğrular, ardından IoT Edge aracısı için örtük bir kayıt oluşturabilir. İş yükü API'sinin kullandığı kanıtlama işlemi, yönetim API'sine erişimi yalnızca IoT Edge aracısı ile de kısıtlar.
Kapsayıcı API'si
Kapsayıcı API'si, Moby veya Docker gibi modül yönetimi için kullanılan kapsayıcı sistemiyle etkileşim kurar.
İş Yükü API'si
İş yükü API'sine tüm modüller erişebilir. HSM köklü imzalı belirteç veya X509 sertifikası olarak ve modüle karşılık gelen güven paketi olarak kimlik kanıtı sağlar. Güven paketi, modüllerin güvenmesi gereken diğer tüm sunucuların CA sertifikalarını içerir.
IoT Edge modülü çalışma zamanı, bu API'yi korumak için bir kanıtlama işlemi kullanır. Modül bu API'yi çağırdığında modül çalışma zamanı kimlik için bir kayıt bulmaya çalışır. Başarılı olursa, modülü ölçmek için kaydın özelliklerini kullanır. Ölçüm işleminin sonucu kayıtla eşleşiyorsa yeni bir kimlik kanıtı oluşturulur. Modüle karşılık gelen CA sertifikaları (güven paketi) döndürülür. Modül, IoT Hub'a, diğer modüllere bağlanmak veya bir sunucu başlatmak için bu sertifikayı kullanır. İmzalanan belirteç veya sertifikanın süresi dolmak üzere olduğunda, yeni bir sertifika istemek modülün sorumluluğundadır.
Tümleştirme ve bakım
Microsoft, GitHub'da IoT Edge modülü çalışma zamanı ve Azure IoT kimlik hizmeti için ana kod tabanını korur.
IoT Edge kod tabanını okurken, modül çalışma zamanının güvenlik daemon'undan geliştiğini unutmayın. Kod tabanı yine de güvenlik daemon'unun başvurularını içerebilir.
Yükleme ve güncelleştirmeler
IoT Edge modülü çalışma zamanının yüklenmesi ve güncelleştirmeleri işletim sisteminin paket yönetim sistemi aracılığıyla yönetilir. Donanım güven köküne sahip IoT Edge cihazları, güvenli önyükleme ve güncelleştirme yönetim sistemleri aracılığıyla yaşam döngüsünü yöneterek modül çalışma zamanının bütünlüğüne ek sağlamlaştırma sağlamalıdır. Cihaz oluşturucular ilgili cihaz özelliklerine göre bu caddeleri keşfetmelidir.
Sürüm oluşturma
IoT Edge çalışma zamanı, IoT Edge modülü çalışma zamanının sürümünü izler ve raporlar. Sürüm, IoT Edge aracı modülü bildirilen özelliğinin runtime.platform.version özniteliği olarak bildirilir.
Donanım güvenlik modülü
IoT Edge güvenlik yöneticisi, donanım güvenlik modüllerini (HSM) tümleştirmek için Güvenilen Platform Modülü ve PKCS#11 arabirim standartlarını uygular. Bu standartlarla, özel arabirimlere sahip olanlar da dahil olmak üzere neredeyse tüm HSM'ler entegre edilebilir. Güvenlik sağlamlaştırma için HSM'lerin kullanılmasını kesinlikle öneririz.
Güven donanımının güvenli silikon kökü
IoT Edge cihaz donanımı içinde güveni tutturmak için güvenli silikon gereklidir. Güvenli silikon Güvenilir Platform Modülü (TPM), tümleşik Secure Element (eSE), Arm TrustZone, Intel SGX ve özel güvenli silikon teknolojilerini içerecek çeşitli özelliklere sahiptir. IoT cihazlarının fiziksel erişilebilirliğiyle ilişkili tehditler göz önünde bulundurulduğunda, cihazlarda güvenin güvenli silikon kökünün kullanılması önerilir.
IoT Edge güvenlik yöneticisi, özel sağlamlaştırma için Azure IoT Edge platformunun güvenliğini ve bütünlüğünü savunan bileşenleri tanımlamayı ve yalıtmayı amaçlar. Cihaz oluşturucular gibi üçüncü taraflar, cihaz donanımlarında kullanılabilen özel güvenlik özelliklerini kullanmalıdır.
Yazılım veya sanal TPM'leri kullanarak Güvenilir Platform Modülü (TPM) ile Azure IoT güvenlik yöneticisini sağlamlaştırmayı öğrenin:
Linux veya Windows üzerinde Linux üzerinde sanal TPM ile IoT Edge cihazı oluşturun ve sağlayın.
Sonraki adımlar
IoT Edge cihazlarınızın güvenliğini sağlama hakkında daha fazla bilgi edinmek için aşağıdaki blog gönderilerini okuyun: