使用 Windows 10 IoT 核心版 建置更安全的裝置

簡介

Windows 10 IoT 核心版提供強大的企業級安全性功能，可運用於較小的 IoT 裝置資源限制類別上。 為了提供有形的優點，硬體平臺也必須提供錨定它們的方法。 本文提供高階指引給想要選取適當硬體及建置、設定及寄送更安全 IoT 裝置給客戶的 OEM 裝置建立者和安全性意識製造商。

建置更安全的 IoT 裝置

使用 IoT 核心建置更安全 IoT 裝置的套裝程式括選擇支援平臺安全性功能的硬體，以及啟用安全性的 IoT 裝置生產。

選擇已啟用安全性的硬體

雖然 IoT 核心版具有內建在平臺中的安全性功能來保護客戶資料，但它依賴硬體安全性功能來充分利用這些功能。 事實上，軟體無法自行保護，因為可以操作記憶體，而且沒有任何信任錨點或不可變的裝置身分識別可以單獨透過軟體提供。 有數種方式可提供硬體型安全性，例如智慧卡、信任的平臺模組 (TPM) ，或 SoC 內建的安全性功能。

如需支援硬體平臺的詳細資訊，請參閱 SoC 和自訂面板。

信賴平台模組

IoT 核心使用信任平臺模組 2.0 (TPM 2.0) 作為硬體安全性平臺。 我們建議 OEM 使用提供 TPM 2.0 的硬體平臺，完全運用 IoT 核心安全性功能，例如 BitLocker、安全開機、Azure 認證儲存體等等。 生產裝置有兩個選項可實作 TPM：作為離散 TPM (dTPM) 或韌體 TPM (fTPM) 。 有數個製造商提供離散 TPM，例如一些製造商，例如一般，也提供一些。 某些 SoC 製造商提供 fTPM 實作，作為面板支援套件的一部分， (BSP) 。

如需 TPM 的詳細資訊，請參閱 TPM 概觀 和 如何設定 TPM。

儲存體選項

開發板，例如熱門的 Raspberry Pi 3，提供彈性，並允許開發人員透過卸載式 SD 記憶卡輕鬆地開機任何平臺。 對於大部分產業的 IoT 裝置而言，此彈性並不理想，而且可讓裝置成為攻擊的簡單目標。 相反地，在設計硬體時，請考慮針對較小的低成本 IoT 裝置使用 eMMC 儲存體。 內嵌儲存體可大幅降低資料竊取或將惡意程式碼導入裝置的可能性，讓內容與裝置分開更為困難。

建立零售映射

建立 Windows IoT 核心版零售映射時，請確定生產系統上沒有允許遠端存取和偵錯的開發人員工具，因為這些工具可能會讓您的裝置遭到攻擊。 如果您在開發期間在您的映射中使用 Windows 裝置入口網站、 FTP 伺服器、 SSH或 PowerShell 等開發人員工具，請確定您在不包含這些工具的零售 IoT 核心版映射上測試及驗證您的案例。

使用者帳戶

大部分的使用者都熟悉取得電腦和手機等裝置 擁有權 的概念：在裝置未收件匣時個人化裝置的概念，以及設定認證以存取裝置的概念。 不同于消費者電腦和手機，IoT 裝置並非用來作為一般用途的運算裝置。 相反地，它們通常是單一應用程式、固定用途的裝置。 雖然 Windows 支援可在開發週期期間遠端連線到裝置的裝置系統管理員概念，但產業 IoT 裝置上的這類支援可能會造成威脅，特別是在使用弱式密碼時。 一般而言，我們建議 IoT 核心版裝置上不會建立任何預設帳戶或密碼。

鎖定零售映射

在電腦等一般用途運算裝置上，使用者可以安裝應用程式和變更設定，包括安全性功能，以確保裝置最符合其需求。 大部分的 IoT 裝置都是固定功能裝置，不會在裝置存留期內變更其用途。 他們會在其作業界限內接收軟體更新或啟用功能更新，例如智慧型控溫器的改良 UI 或溫度規定。 這項資訊只能允許執行已知和受信任的程式碼，以完全鎖定 IoT 裝置。 Windows 10 IoT 核心版上的 Device Guard 可藉由確保鎖定的裝置上無法執行未知或未受信任的可執行檔程式碼，協助保護 IoT 裝置。

Microsoft 提供 周全的安全性套件 ，以協助啟用 IoT 核心版裝置上的重要安全性功能。 這可讓裝置產生器建立完全鎖定的 IoT 裝置。 套件將協助您：

• 布建安全開機金鑰，並在支援的 IoT 平臺上啟用此功能。
• 使用 BitLocker 設定和設定裝置加密。
• 起始裝置鎖定，只允許執行已簽署的應用程式和驅動程式。

逐步指引說明在 啟用安全開機、BitLocker 和 Device Guard 一節中。

裝置生產

驗證鎖定映射之後，即可用於製造。 如需詳細資訊，請參閱 IoT 核心版製造。