Confidential Computing aan de rand

Van toepassing op: IoT Edge 1.5

Azure IoT Edge ondersteunt vertrouwelijke toepassingen die worden uitgevoerd binnen beveiligde enclaves op het apparaat. Versleuteling biedt beveiliging voor gegevens terwijl ze worden overgedragen of in rust zijn, maar enclaves bieden beveiliging voor gegevens en workloads terwijl ze in gebruik zijn. IoT Edge ondersteunt Open Enclave als standaard voor het ontwikkelen van vertrouwelijke toepassingen.

Beveiliging is een belangrijke focus op Internet of Things (IoT), omdat IoT-apparaten vaak in de wereld zijn in plaats van beveiligd binnen een privéfaciliteit. Deze blootstelling brengt apparaten in gevaar voor manipulatie en vervalsing, omdat ze fysiek toegankelijk zijn voor slechte actoren. IoT Edge apparaten meer vertrouwen en integriteit nodig hebben, omdat ze gevoelige workloads aan de rand uitvoeren. In tegenstelling tot veelvoorkomende sensoren en actuatoren kunnen deze intelligente edge-apparaten gevoelige workloads blootstellen die eerder alleen werden uitgevoerd in beveiligde cloud- of on-premises omgevingen.

De IoT Edge security manager behandelt één deel van de uitdaging voor vertrouwelijke computing. Security Manager maakt gebruik van een HSM (Hardware Security Module) om de identiteitsworkloads en lopende processen van een IoT Edge apparaat te beveiligen.

Een ander aspect van confidential computing is het beveiligen van gegevens die worden gebruikt aan de rand. Een TEE (Trusted Execution Environment) is een beveiligde, geïsoleerde omgeving op een processor, ook wel een enclave genoemd. Een vertrouwelijke toepassing is een toepassing die wordt uitgevoerd in een enclave. Vanwege de aard van enclaves worden vertrouwelijke toepassingen beschermd tegen andere apps die worden uitgevoerd in de hoofdprocessor of in de TEE.

Vertrouwelijke toepassingen op IoT Edge

Vertrouwelijke toepassingen worden versleuteld tijdens overdracht en in rust, en worden alleen ontsleuteld om binnen een vertrouwde uitvoeringsomgeving te werken. Deze standaard geldt voor vertrouwelijke toepassingen die zijn geïmplementeerd als IoT Edge modules.

Ontwikkelaars maken vertrouwelijke toepassingen en verpakken ze als IoT Edge modules. De toepassing wordt versleuteld voordat deze naar het containerregister wordt gepusht. De toepassing blijft versleuteld gedurende het IoT Edge implementatieproces totdat de module op het IoT Edge apparaat is gestart. Zodra de vertrouwelijke toepassing zich in de TEE van het apparaat bevindt, wordt deze ontsleuteld en kan deze worden uitgevoerd.

Vertrouwelijke toepassingen op IoT Edge breiden Azure confidential computing uit. Workloads die binnen beveiligde enclaves in de cloud worden uitgevoerd, kunnen ook worden geïmplementeerd om te worden uitgevoerd binnen beveiligde enclaves aan de rand.

Enclave openen

De Open Enclave SDK is een opensource-project waarmee ontwikkelaars vertrouwelijke toepassingen kunnen maken voor meerdere platforms en omgevingen. De Open Enclave SDK werkt in de TEE (Trusted Execution Environment) van een apparaat, terwijl de Open Enclave-API fungeert als een interface tussen de TEE en de niet-TEE-verwerkingsomgeving.

Open Enclave ondersteunt meerdere hardwareplatforms. IoT Edge ondersteuning voor enclaves vereist het Open Portable TEE-besturingssysteem (OP-TEE OS). Zie Open Enclave SDK voor OP-TEE OS voor meer informatie.

De Open Enclave-opslagplaats bevat voorbeelden om ontwikkelaars te helpen aan de slag te gaan. Selecteer een van de inleidende artikelen voor meer informatie:

• Open Enclave SDK-voorbeelden bouwen in Linux
• Building Open Enclave SDK-voorbeelden op Windows

Apparatuur

Momenteel is TrustBox by Scalys het enige apparaat dat wordt ondersteund met serviceovereenkomsten van de fabrikant voor het implementeren van vertrouwelijke toepassingen als IoT Edge modules. De TrustBox Edge- en TrustBox EdgeXL-apparaten worden beide vooraf geladen met de Open Enclave SDK en Azure IoT Edge.

Zie Aan de slag met Open Enclave voor Scalys TrustBox voor meer informatie.

Ontwikkelen en implementeren

Wanneer u klaar bent om uw vertrouwelijke toepassing te ontwikkelen en te implementeren, kan de Open Enclave SDK u helpen. U kunt Linux of Windows als ontwikkelcomputer gebruiken om modules te ontwikkelen voor de TrustBox.

Volgende stappen

Meer informatie over het ontwikkelen van vertrouwelijke toepassingen als IoT Edge modules met de extensie Open Enclave voor Visual Studio Code.