IoT安全解決方案：微軟Azure Sphere

Azure Sphere是一個(gè)針對(duì)物聯(lián)網(wǎng)設(shè)備的端到端的高度安全的解決方案，2020年2月正式商用，宣布著物聯(lián)網(wǎng)安全進(jìn)入了新時(shí)代。日前微軟 Azure Sphere 首席解決方案專家Michael Yu和微軟物聯(lián)網(wǎng)架構(gòu)師Neo Xiong接受了EEWorld采訪，為大家介紹Azure Sphere究竟在安全領(lǐng)域都做了什么。

為什么要選擇微軟？

對(duì)于大部分的企業(yè)而言，安全并非他們的專長(zhǎng)，因此選擇一個(gè)成熟的安全解決方案無(wú)疑是最佳的選擇，Azure Sphere就是在這樣的需求下而誕生。

微軟Azure是全球最為健全的云生態(tài)之一，500強(qiáng)企業(yè)中95％在使用Azure，云計(jì)算資源超過(guò)了AWS和谷歌的綜合。同時(shí)微軟也是物聯(lián)網(wǎng)服務(wù)平臺(tái)中最重要的供應(yīng)商之一，提供了完整的PaaS和SaaS服務(wù)。而在安全領(lǐng)域，微軟擁有30余年的網(wǎng)絡(luò)安全經(jīng)驗(yàn)和10余年的硬件加密安全經(jīng)驗(yàn)，使其成為獨(dú)樹(shù)一幟的云安全領(lǐng)導(dǎo)廠商。

2017年微軟先后發(fā)布了安全性完善模型以及高安全設(shè)備七大特性等研究成果，推動(dòng)共建物聯(lián)網(wǎng)安全的最佳實(shí)踐，包括硬件的信任根深度防護(hù)，可信的計(jì)算機(jī)動(dòng)態(tài)分區(qū)，基于證書(shū)的認(rèn)證，故障報(bào)告，可更新的安全策略等，微軟認(rèn)為，同時(shí)具備這七大特征，才可以算是高度安全。Gartner也有報(bào)告指出，客戶對(duì)安全認(rèn)知還要有更多了解，不光是需要設(shè)備加密，使用安全的芯片等等，而是需要一個(gè)完整的設(shè)備安全。

安全七大特征

Azure Sphere三大元素淺析

微軟Azure Sphere是基于七大特征所開(kāi)發(fā)的安全解決方案，包括三個(gè)元素，經(jīng)微軟認(rèn)證內(nèi)置安全子系統(tǒng)的MCU、安全的操作系統(tǒng)以及安全的云服務(wù)。

其中針對(duì)處理器，內(nèi)置了微軟巖體安全子系統(tǒng)Pluton，用于產(chǎn)生和存儲(chǔ)密鑰，執(zhí)行加密算法以及提供內(nèi)部安全分區(qū)，并用總線級(jí)防火墻進(jìn)行隔離。

如圖所示，微軟已經(jīng)與眾多領(lǐng)先的芯片供應(yīng)商開(kāi)始合作開(kāi)發(fā)基于微軟認(rèn)證的物聯(lián)網(wǎng)MCU，其中首款問(wèn)世的產(chǎn)品為聯(lián)發(fā)科MT3620。基于微軟的Azure Sphere解決方案，安富利推出了Azure Sphere MT360入門套件，此套件能夠?yàn)槲锫?lián)網(wǎng)項(xiàng)目的快速實(shí)施構(gòu)建原型，將全新的物聯(lián)網(wǎng)終端設(shè)備快速推向市場(chǎng)。（有關(guān)硬件部分請(qǐng)閱讀安富利MT3620模塊加速Azure Sphere物聯(lián)網(wǎng)安全落地）

每一顆Azure Sphere的芯片在生產(chǎn)的過(guò)程中，都會(huì)由內(nèi)部的Pluton生成一對(duì)公司秘鑰，公鑰會(huì)通過(guò)安全的渠道傳送到Azure Sphere安全云服務(wù)并進(jìn)行記錄，私鑰則永遠(yuǎn)不會(huì)離開(kāi)Pluton模塊，確保了私鑰的安全性。

Azure Sphere的操作系統(tǒng)擁有四層架構(gòu)，同樣考慮了深度防護(hù)、動(dòng)態(tài)分區(qū)等安全需求，從而設(shè)立了Security Monitor層，服務(wù)層以及容器層。其中Security Monitor運(yùn)行在ARM TrustZone上，擁有對(duì)CPU資源所有的訪問(wèn)權(quán)限，Linux內(nèi)核則對(duì)IoT場(chǎng)景進(jìn)行了裁剪和優(yōu)化，讓系統(tǒng)精簡(jiǎn)高效的同時(shí)減少攻擊面。服務(wù)層提供了OTA的雙向認(rèn)證，設(shè)備管理，固件更新，以及錯(cuò)誤報(bào)告收集等。而在應(yīng)用層Azure Sphere OS團(tuán)隊(duì)為了維護(hù)API的兼容性，彼此容器間以及應(yīng)用與OTA間都是完全獨(dú)立運(yùn)行的。

云服務(wù)保障物聯(lián)網(wǎng)設(shè)備的安全

在安全云服務(wù)方面，Azure Sphere安全云服務(wù)是部署在微軟公有云上面的SaaS服務(wù)，用戶只需要注冊(cè)和登陸就可以直接使用。主要包含設(shè)備身份的認(rèn)證，設(shè)備OS與應(yīng)用程序的更新以及搜集設(shè)備的異常狀態(tài)并進(jìn)行上報(bào)。

實(shí)際上，微軟針對(duì)物聯(lián)網(wǎng)安全的改進(jìn)還有很多很多，這里不一一贅述，如果仔細(xì)閱讀Azure Sphere的說(shuō)明，你會(huì)發(fā)現(xiàn)處處都有為確保安全所提供的細(xì)節(jié)。

Azure Sphere系統(tǒng)對(duì)所有MCU廠商都是開(kāi)放的，對(duì)所有類型的云也都是開(kāi)放的，對(duì)開(kāi)發(fā)環(huán)境也是開(kāi)放的，對(duì)生態(tài)系統(tǒng)也是開(kāi)放的。也正因此，Azure Sphere獲得了眾多客戶的青睞。一個(gè)最典型例子就是星巴克，通過(guò)Azure Sphere，安全連接了遍布全球的3萬(wàn)臺(tái)咖啡機(jī)，進(jìn)行數(shù)字化改革，實(shí)現(xiàn)了咖啡機(jī)的設(shè)備運(yùn)維及OTA等功能。

目前，已有多家中國(guó)合作伙伴推出了微軟Azure Sphere的Guardian Modules，滿足多種通信接口、多種場(chǎng)景的設(shè)備安全聯(lián)網(wǎng)需求，使傳統(tǒng)設(shè)備不需要任何硬件更新，就可以利用Guardian Modules實(shí)現(xiàn)安全的物聯(lián)網(wǎng)接入。

伴隨著微軟官方正式宣布商用，以及眾多大公司的先期采用，Azure Sphere已經(jīng)被證實(shí)是物聯(lián)網(wǎng)安全領(lǐng)域最佳的端到端解決方案之一，正如星巴克基礎(chǔ)設(shè)施和運(yùn)營(yíng)高級(jí)副總裁Jeff Wile所說(shuō)，“采用微軟Azure Sphere，令星巴克的合作伙伴和員工可以更關(guān)注為顧客創(chuàng)造價(jià)值，Azure Sphere可確保全球咖啡的配方及口感一致，減少資源浪費(fèi)，能源消耗以及設(shè)備運(yùn)維的預(yù)測(cè)?！?/p>