Поддержка TLS в IoT Hub

Центр Интернета вещей использует протокол TLS для защиты подключений от устройств и служб Интернета вещей.

Взаимная поддержка TLS

Взаимная проверка подлинности TLS гарантирует, что клиент выполняет проверку подлинности сертификата сервера (Центр Интернета вещей), а сервер (Центр Интернета вещей) выполняет проверку подлинности клиента с помощью сертификата клиента X.509 или отпечатка X.509. Центр Интернета вещей выполняет авторизацию после завершения проверки подлинности.

Для протоколов AMQP и MQTT IoT Hub запрашивает сертификат клиента в начальном TLS-согласовании. Если он указан, Центр Интернета вещей проверяет подлинность сертификата клиента, а клиент выполняет проверку подлинности сертификата Центр Интернета вещей. Этот процесс называется взаимной проверкой подлинности TLS. Когда Центр Интернета вещей получает пакет подключения MQTT или откроется ссылка AMQP, Центр Интернета вещей выполняет авторизацию для запрашивающего клиента и определяет, требуется ли проверка подлинности X.509. Если взаимная проверка подлинности TLS завершена и клиенту разрешено подключаться как устройству, это разрешено. Однако если клиенту требуется проверка подлинности X.509 и проверка подлинности клиента не была завершена во время подтверждения TLS, то Центр Интернета вещей отклоняет подключение.

Для протокола HTTP, когда клиент выполняет свой первый запрос, Центр Интернета вещей проверяет, требуется ли для клиента проверка подлинности X.509 и если проверка подлинности клиента завершена, Центр Интернета вещей выполняет авторизацию. Если проверка подлинности клиента не завершена, Центр Интернета вещей отклоняет подключение.

После успешного подтверждения TLS Центр Интернета вещей может проверить подлинность устройства с помощью симметричного ключа или сертификата X.509. Для аутентификации на основе сертификатов Центр Интернета вещей проверяет сертификат по отпечатку или с использованием предоставленного центра сертификации (ЦС). Дополнительные сведения см. в статье "Проверка подлинности удостоверений с помощью сертификатов X.509".

Сертификат TLS сервера Центра Интернета вещей

Во время рукопожатия TLS IoT Hub предоставляет подключающимся клиентам серверные сертификаты с ключом RSA. Все центры Интернета вещей в глобальном облаке Azure используют сертификат TLS, выданный Global Root G2 DigiCert.

Мы настоятельно рекомендуем, чтобы все устройства доверяли следующим трем корневым УЦ:

• Корневой центр сертификации DigiCert Global G2
• Удостоверяющий центр Microsoft RSA 2017

Ссылки на скачивание этих сертификатов см. в разделе "Центр сертификации Azure".

Миграции корневого центра сертификации встречаются редко. Вы всегда должны подготовить решение Интернета вещей к маловероятной ситуации, когда корневой ЦС скомпрометирован и требуется экстренная смена корневого ЦС в экстренном порядке.

Комплекты шифров

Начиная с 31 августа 2025 года Центр Интернета вещей применяет рекомендуемые наборы надежных шифров для всех существующих и новых Центров Интернета вещей. Не поддерживаются наборы шифров, которые не рекомендуется использовать (слабые), после этой даты.

Чтобы обеспечить соответствие политике безопасности Azure для безопасного подключения, Центр Интернета вещей поддерживает только следующие наборы шифров RSA и ECDSA:

• TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

Следующие нерекоменционные наборы шифров разрешены на концентраторах без minTlsVersion:1.2 до 31 августа 2025 г.

• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_GCM_SHA384
• TLS_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_128_CBC_SHA
• TLS_RSA_WITH_AES_256_CBC_SHA

Клиент может предложить список более надежных наборов шифров для использования во время ClientHello. Однако Центр Интернета вещей может не поддерживать некоторые из них, например ECDHE-ECDSA-AES256-GCM-SHA384. В этом случае Центр Интернета вещей пытается следовать предпочтениям клиента, но в конечном итоге согласовывает набор шифров с ServerHello.

Обновление поддержки Центра Интернета вещей до TLS 1.2

После создания IoT Hub, свойство minTlsVersion можно обновить с помощью портала Azure, интерфейса командной строки или пакетов SDK. Если необходимо обновить IoT Hub для использования TLS 1.2 и установить наборы криптографических алгоритмов (разрешено только в выбранных регионах) или включить поддержку TLS 1.2 (поддерживается во всех регионах), вы можете сделать это, следуя этим шагам.

Чтобы обновить Центр Интернета вещей для поддержки TLS 1.2 и (или) принудительного применения наборов надежных шифров на портале Azure:

1. Перейдите к существующему Центру Интернета вещей на портале Azure.

2. На вкладке "Обзор " в меню слева щелкните ссылку "Минимальная версия TLS " в разделе "Основные сведения".

   

3. В окне "Минимальная версия TLS" выберите 1.2 , чтобы обеспечить подключение только устройств, поддерживающих TLS 1.2 или более поздней версии.

4. Щелкните Обновить.

   

Измените настройки IoT Hub для использования TLS 1.2 и строгих шифров.

Чтобы обеспечить соответствие ваших устройств Интернета вещей TLS 1.2 и списками шифров с высокой степенью безопасности, вы можете обеспечить соответствие с помощью возможности принудительного применения минимальных требований TLS в Центре Интернета вещей Azure.

Для включения TLS 1.2 и использования наборов шифров с высокой степенью безопасности в портале Azure:

1. Перейдите к мастеру создания Центра Интернета вещей на портале Azure.

2. Выберите регион из списка поддерживаемых регионов.

3. В разделе Управление -> Расширенные -> TLS -> Минимальная версия TLS выберите 1.2. Этот параметр отображается только для центра Интернета вещей, созданного в поддерживаемом регионе.

   

4. Нажмите кнопку Создать

5. Подключите устройства Интернета вещей к этому Центру Интернета вещей.

Чтобы использовать шаблон ARM для создания, подготовьте новый центр Интернета вещей в любом из поддерживаемых регионов и присвойте свойству minTlsVersion значение 1.2 в спецификации ресурсов:

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Devices/IotHubs",
            "apiVersion": "2020-01-01",
            "name": "<provide-a-valid-resource-name>",
            "location": "<any-of-supported-regions-below>",
            "properties": {
                "minTlsVersion": "1.2"
            },
            "sku": {
                "name": "<your-hubs-SKU-name>",
                "tier": "<your-hubs-SKU-tier>",
                "capacity": 1
            }
        }
    ]
}

Созданный ресурс Центра Интернета вещей, использующий эту конфигурацию, отклоняет клиенты устройств и служб, которые пытаются подключиться с помощью TLS версии 1.0 и 1.1. Аналогичным образом рукопожатие TLS отклоняется, если ClientHello сообщение не перечисляет какие-либо рекомендуемые шифры.

Проверка версий TLS и наборов шифров для устройств Центра Интернета вещей

Центр Интернета вещей Azure предоставляет возможность проверить версию TLS, наборы шифров и другие метрики подключения к устройству, чтобы отслеживать безопасность устройств Интернета вещей. Вы можете использовать метрики Центра Интернета вещей или журналы диагностики для отслеживания использования версии TLS и других связанных свойств, таких как наборы шифров.

Проверка версий TLS и наборов шифров с помощью метрик Центра Интернета вещей

Если вы хотите проверить, что трафик устройства в Центр Интернета вещей использует TLSv1.2 и надежные наборы шифров, можно проверить метрики Центра Интернета вещей. Это позволяет фильтровать по версии TLS или набору шифров и проверять количество успешных подключений.

1. Найдите нужный Центр Интернета вещей на портале Azure.

2. В меню слева в разделе "Мониторинг" выберите "Метрики".

3. Добавьте метрику Успешное подключение.

   

4. Фильтруйте по версии TLS или набору шифров, нажав кнопку "Добавить фильтр " и выбрав соответствующее свойство, версию TLS или набор шифров, оператор, например "=" и значение, например TLSv1.2.

   

5. После применения фильтра отображается сумма устройств с успешными подключениями Центра Интернета вещей на основе отфильтрованного свойства и значений.

Проверка версий TLS и наборов шифров с помощью журналов диагностики Центра Интернета вещей

Центр интернета вещей Azure может предоставлять журналы диагностики для нескольких категорий, которые можно анализировать с помощью журналов Azure Monitor. В журнале подключений можно найти версию TLS и набор шифров для устройств Центра Интернета вещей.

Чтобы просмотреть эти журналы, выполните следующие действия.

1. Найдите нужный Центр Интернета вещей на портале Azure.

2. В меню слева в разделе "Мониторинг" выберите параметры диагностики. Убедитесь, что в параметрах диагностики установлен флажок "Подключения".

3. В меню слева в разделе Мониторинг выберите Журналы.

4. Введите следующий запрос:

   AzureDiagnostics
   | where ResourceProvider == "MICROSOFT.DEVICES" and ResourceType == "IOTHUBS"
   | where Category == "Connections"
   | where OperationName == "deviceConnect"
   | extend props_json = parse_json(properties_s)
   | project DeviceId = props_json.deviceId, TLSVersion = props_json.tlsVersion
   

5. Пример результатов запроса выглядит следующим образом:

   

Конфигурация TLS для пакета SDK и IoT Edge

Используйте следующие ссылки для настройки TLS 1.2 и разрешенных шифров в клиентских пакетах SDK для Центра Интернета вещей.

Устройства IoT Edge можно настроить для использования TLS 1.2 при обмене данными с Центром Интернета вещей. Для этой цели используйте страницу документации IoT Edge.

Сертификат TLS сервера с эллиптической кривой (ECC)

Обеспечивая почти тот же уровень безопасности, что и сертификаты RSA, проверка сертификата ECC (с уникальными наборами шифров) использует до 40 % меньше вычислительных ресурсов, памяти и пропускной способности. Эта экономия важна для устройств Интернета вещей из-за небольших профилей и памяти, а также для поддержки вариантов использования в средах с ограниченной пропускной способностью сети.

Чтобы использовать сертификат сервера ECC Центр Интернета вещей, выполните приведенные ниже действия.

1. Убедитесь, что все устройства доверяют следующим корневым центрам сертификации:
   • Корневой центр сертификации DigiCert Global G2
   • Удостоверяющий центр Microsoft RSA 2017
2. Настройте клиент так, чтобы он включал только наборы шифров ECDSA и не включал наборы шифров RSA. Это поддерживаемые наборы шифров для сертификата ECC:
   • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
   • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
   • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
3. Подключите клиент к Центру Интернета вещей.

Согласование максимальной длины фрагментов TLS

Центр Интернета вещей также поддерживает согласование максимальной длины фрагмента TLS, которое иногда называют согласованием размера кадра TLS. Эта функция предоставляется в общедоступной предварительной версии.

Используйте эту функцию, чтобы указать максимальную длину фрагмента в виде открытого текста, значение которого меньше значения по умолчанию 2^14 байт. После согласования Центр Интернета вещей и клиент начинают фрагментирование сообщений, чтобы все фрагменты были меньше согласованной длины. Такое поведение полезно для устройств с ограниченным объемом памяти или вычислительных ресурсов. Дополнительные сведения см. в официальной спецификации расширения TLS.

Официальная поддержка пакета SDK для этой общедоступной предварительной версии пока недоступна. Начало работы

1. Создайте Центр Интернета вещей.
2. При использовании OpenSSL вызовите SSL_CTX_set_tlsext_max_fragment_length, чтобы указать размер фрагмента.
3. Подключите клиент к Центру Интернета вещей.

Привязка к сертификату

Прокалывание сертификатов и фильтрация сертификатов сервера TLS и промежуточных сертификатов, связанных с конечными точками Центра Интернета вещей, настоятельно не рекомендуется, так как корпорация Майкрософт часто обновляет эти сертификаты без уведомления. Если необходимо, привяжите только корневые сертификаты, как описано в этой записи блога Azure IoT.

Дальнейшие шаги

• Дополнительные сведения о безопасности Центра Интернета вещей и управлении доступом см. в статье Управление доступом к центру Интернета вещей.
• Дополнительные сведения об использовании сертификата X.509 для проверки подлинности устройства см. в статье Проверка подлинности устройства с помощью сертификатов ЦС X.509.