Диспетчер безопасности Azure IoT Edge

Область применения: IoT Edge 1.5

Диспетчер безопасности Azure IoT Edge — это хорошо привязанное ядро безопасности, которое защищает устройство IoT Edge и его компоненты путем абстрагирования безопасного кремниевого оборудования. Менеджер по безопасности фокусируется на усилении безопасности и предоставляет точку интеграции технологий оригинальным производителям оборудования (OEM).

Менеджер безопасности абстрагирует аппаратное обеспечение с защитой на основе кремния на устройстве IoT Edge и предоставляет рамочную платформу для расширения дополнительных служб безопасности.

Диспетчер безопасности IoT Edge защищает целостность устройства IoT Edge и его программных операций. Диспетчер безопасности передает базовый корень доверия оборудования (если доступно), чтобы выполнить начальную загрузку среды выполнения IoT Edge и следить за выполняемыми операциями. Диспетчер безопасности IoT Edge работает с безопасным кремниевым оборудованием (где доступно) для обеспечения максимальной надежности безопасности.

Диспетчер безопасности IoT Edge также предоставляет безопасную платформу для расширений службы безопасности через модули уровня узла. К этим службам относятся мониторинг безопасности и обновления, требующие агентов внутри устройства с привилегированным доступом к некоторым компонентам устройства. Платформа расширяемости гарантирует, что эти интеграции всегда поддерживают общую системную безопасность.

Диспетчер безопасности IoT Edge отвечает за такие задачи, как:

• Инициализация устройства Azure IoT Edge
• Управление доступом к аппаратному корню доверия устройства через нотарионные службы
• Мониторинг целостности операций IoT Edge во время выполнения
• Обеспечение идентификации устройства и управление переходом доверия, где это необходимо.
• Убедитесь, что клиентские агенты для служб, таких как Device Update for IoT Hub и Microsoft Defender for IoT, работают безопасно.

Диспетчер безопасности IoT Edge имеет три компонента:

• Среда выполнения модуля IoT Edge
• Абстракции аппаратного модуля безопасности (HSM) через стандартные реализации, такие как PKCS#11 и доверенный платформенный модуль (TPM)
• Аппаратный корень доверия или HSM (аппаратный модуль безопасности) (необязательно, но настоятельно рекомендуется)

Изменения в версии 1.2 и более поздних версиях

В версиях 1.0 и 1.1 IoT Edge компонент, называемый управляющей программой безопасности , управляет логическими операциями безопасности диспетчера безопасности. В версии 1.2 несколько ключевых обязанностей перемещены в подсистему безопасности службы удостоверений Azure IoT. После перехода этих задач безопасности из демона безопасности ее имя не соответствует ее роли. Чтобы лучше отразить функции этого компонента в версии 1.2 и более поздних, он переименован в среду выполнения модуля.

Среда выполнения модуля IoT Edge

Среда выполнения модуля IoT Edge делегирует доверие из подсистемы безопасности службы удостоверений Интернета вещей Azure для защиты среды выполнения контейнера IoT Edge. Одна из служб, делегированная службе удостоверений Интернета вещей Azure, — это автоматическая служба регистрации сертификатов и продления с помощью сервера EST. Чтобы узнать, как это работает и создать пример сервера EST, сделанного для устройства IoT Edge, попробуйте настроить регистрацию по безопасному транспортному серверу для Azure IoT Edge .

Среда выполнения модуля отвечает за логические операции безопасности диспетчера безопасности. Она представляет значительную часть доверенной вычислительной базы устройства IoT Edge. Среда выполнения модуля использует службы безопасности из службы удостоверений Интернета вещей, которая, в свою очередь, затвердена выбором аппаратного модуля безопасности устройства (HSM). Настоятельно рекомендуется использовать HSM для защиты устройств.

Принципы дизайна

IoT Edge следует двум основным принципам: максимальной целостности операций и минимизации больших двоичных объектов и оттока.

Максимальное увеличение операционной целостности

Среда выполнения модуля IoT Edge работает с максимальной целостностью, возможной в рамках защиты любого заданного корневого оборудования доверия. При правильной интеграции корень доверия оборудования проверяет и отслеживает управляющую программу безопасности в статическом состоянии и во время выполнения, чтобы противостоять незаконному изменению.

Вредоносный физический доступ к устройствам всегда является угрозой в IoT. Корневой каталог доверия оборудования играет важную роль в защите целостности устройства IoT Edge. Корень доверия оборудования представлен в двух вариантах:

• Элементы обеспечения безопасности конфиденциальных данных, таких как секреты и криптографические ключи.
• Безопасные анклавы для защиты секретов, таких как ключи, и конфиденциальные рабочие нагрузки, такие как конфиденциальные модели машинного обучения и операции измерения.

Есть два типа сред выполнения для использования корня доверия оборудования:

• стандартная или расширенная среда выполнения (REE), которая использует безопасные элементы для защиты конфиденциальной информации;
• доверенная среда выполнения (TEE), которая использует безопасные внутренние зоны для защиты конфиденциальной информации и обеспечения защиты выполнения программного обеспечения.

Для устройств, использующих безопасные анклава в качестве аппаратного корня доверия, конфиденциальная логика в среде выполнения модуля IoT Edge должна находиться в анклавах. Нечувствительные части среды выполнения модуля могут находиться за пределами TEE. Во всех случаях настоятельно рекомендуется, чтобы исходные производители проектов (ODM) и оригинальные производители оборудования (OEM) распространяли доверие от HSM, чтобы измерять и защищать целостность среды выполнения модуля IoT Edge при загрузке и среде выполнения.

Минимизация раздувания и обновления

Еще одним основным принципом среды выполнения модуля IoT Edge является минимизация оттока. Для самого высокого уровня доверия среда выполнения модуля IoT Edge может тесно сочетаться с аппаратным корнем доверия устройства и работать в качестве машинного кода. В таких случаях обычно обновляется программное обеспечение IoT Edge с помощью аппаратного корня путей безопасного обновления доверия, а не механизмов обновления операционной системы, которые могут быть сложными. Продление безопасности рекомендуется для устройств Интернета вещей, но чрезмерные требования к обновлению или большие полезные данные обновления могут расширить область угроз во многих отношениях. Например, вам может потребоваться пропустить некоторые обновления, чтобы максимально повысить доступность устройств. Таким образом, проектирование среды выполнения модуля IoT Edge является кратким, чтобы обеспечить небольшой объем надежной вычислительной базы для поощрения частых обновлений.

Архитектура

Среда выполнения модуля IoT Edge использует любой доступный аппаратный корень доверия для обеспечения безопасности. Она также поддерживает раздельные операции между стандартной или расширенной средой выполнения и доверенной средой выполнения (TEE), если аппаратные технологии предлагают среды TEE. Специфические для конкретной роли интерфейсы задействуют основные компоненты IoT Edge для обеспечения целостности устройства IoT Edge и его операций.

Облачный интерфейс

Облачный интерфейс обеспечивает доступ к облачным службам, которые дополняют безопасность устройств. Например, этот интерфейс позволяет получить доступ к службе подготовки устройств для управления жизненным циклом удостоверений устройств.

API управления

API управления вызывается агентом IoT Edge при создании или запуске, остановке и удалении модуля IoT Edge. Среда выполнения модуля сохраняет "регистрации" для всех активных модулей. Эти регистрации сопоставляют удостоверение модуля с некоторыми свойствами модуля. Например, эти свойства модуля включают идентификатор процесса (pid) процесса, выполняемого в контейнере, и хэш содержимого контейнера Docker.

Эти свойства используются API рабочей нагрузки, чтобы убедиться, что вызывающий объект авторизован для действия.

API управления — это привилегированный API, вызываемый только из агента IoT Edge. Так как среда выполнения модуля IoT Edge загружается и запускает агент IoT Edge, он проверяет, что агент IoT Edge не был изменен, а затем может создать неявную регистрацию для агента IoT Edge. Тот же процесс аттестации, который применяет API рабочей нагрузки, используется для предоставления доступа к API управления только для агента IoT Edge.

API контейнера

API контейнера взаимодействует с системой контейнеров, используемой для управления модулями, например Moby или Docker.

API рабочей нагрузки

Интерфейс API рабочей нагрузки доступен для всех модулей. Он предоставляет подтверждение подлинности в форме подписанного токена с корнем HSM или в форме сертификата X509 и соответствующего пакета доверия модулю. Пакет доверия содержит сертификаты ЦС для всех других серверов, которым должны доверять модули.

Среда выполнения модуля IoT Edge использует процесс аттестации для защиты этого API. Когда модуль вызывает этот API, среда выполнения модуля пытается найти регистрацию для удостоверения. В случае обнаружения она использует свойства регистрации для измерения модуля. Если результат процесса измерения совпадает с регистрацией, создается подтверждение подлинности. Соответствующие сертификаты ЦС (пакет доверия) возвращаются в модуль. Модуль использует этот сертификат для подключения к Центру Интернета вещей, другим модулям или запуска сервера. Когда срок действия подписанного токена или сертификата истекает, модуль должен запросить новый сертификат.

Интеграция и обслуживание

Корпорация Майкрософт поддерживает основную базу кода для среды выполнения модуля IoT Edge и службы удостоверений Azure IoT на GitHub.

При чтении базы кода IoT Edge помните, что среда выполнения модуля развивалась от управляющей программы безопасности. База кода по-прежнему может содержать ссылки на управляющая программа безопасности.

Установка и обновления

Установка и обновление среды выполнения модуля IoT Edge управляются системой управления пакетами операционной системы. Устройства IoT Edge с аппаратным корнем доверия должны обеспечить дополнительную защиту целостности среды выполнения модуля, управляя жизненным циклом с помощью безопасных систем управления загрузкой и обновлениями. Изготовители устройств должны исследовать эти возможности на основе соответствующих возможностей устройства.

Управление версиями

Среда выполнения IoT Edge отслеживает и сообщает версию среды выполнения модуля IoT Edge. Версия сообщается как атрибут среда выполнения.платформа.версия передаваемого свойства модуля агента IoT Edge.

Аппаратный модуль безопасности

Диспетчер безопасности IoT Edge использует стандарты интерфейса доверенной платформы и PKCS#11 для интеграции аппаратных модулей безопасности (HSM). Эти стандарты позволяют интегрировать практически любой HSM, в том числе с собственными интерфейсами. Используйте HSM для укрепления безопасности.

Корень доверия надежного кремниевого оборудования

Надежный кремний обеспечивает доверие в оборудовании устройств периферийной сети Интернета вещей. Безопасный кремний включает доверенный модуль платформы (TPM), встроенный безопасный элемент (eSE), Arm TrustZone, Intel SGX и пользовательские технологии безопасного кремния. Использование безопасного корня доверия на основе кремния в устройствах важно из-за угроз, возникающих при физическом доступе к устройствам Интернета вещей.

Менеджер безопасности IoT Edge определяет и изолирует компоненты, которые обеспечивают защиту безопасности и целостности платформы Azure IoT Edge для кастомизированного усиления безопасности. Производители устройств и другие сторонние пользователи могут использовать пользовательские функции безопасности, доступные с оборудованием устройства.

Узнайте, как обеспечить защиту диспетчера безопасности Интернета вещей Azure с помощью доверенного платформенного модуля (TPM) с помощью программного обеспечения или виртуальных TPM:

Создайте и подготовьте устройство IoT Edge с помощью виртуального доверенного платформенного модуля в Linux или Linux в Windows.

Следующие шаги

Дополнительные сведения о защите устройств IoT Edge см. в следующих записях блога:

• Защита интеллектуальной периферии
• Схема безопасного решения неуловимой подготовки устройств Интернета вещей в масштабе
• Решение безопасности устройств Интернета вещей в масштабе с помощью стандартов