Como se preparar para a rotação da chave de raiz do Device Update para o Hub IoT

Saiba mais sobre a Atualização de Dispositivo para rotações de chave raiz do Hub IoT e o que você precisa fazer para se preparar.

Compreender a Atualização de Dispositivo para segurança do Hub IoT e como as chaves raiz são usadas

Antes de conhecer o processo de rotação da chave de raiz do Device Update, informe-se sobre chaves de raiz consultando a página Modelo de segurança do Device Update.

Alteração do cronograma de rotação da chave raiz

A equipa de Atualização de Dispositivo para o Hub IoT tinha anteriormente planeado substituir ADU.200702.R, a chave raiz atualmente em uso para validar chaves de assinatura associadas a manifestos de atualizações, em 26 de agosto de 2025. A rotação dessa chave teria significado que o serviço de Atualização de Dispositivo pararia de assinar conteúdo importado com uma chave que está encadeada até ADU.200702.R. Em seguida, o serviço teria começado a assinar usando uma chave que se encadeia até ADU.200703.R.

Com base no feedback de nossos clientes sobre o impacto dessa mudança, a equipe do Device Update for Hub IoT está adiando a rotação de agosto de 2025. Isso dará aos clientes mais tempo para estarem prontos para a rotação. Assim que uma nova data estiver disponível para este evento de rotação, ela será anunciada com pelo menos um ano de antecedência.

Como validar se os seus dispositivos estão prontos para uma futura rotação ou revogação

Se você não testou a chave raiz ADU.200703.R que será usada após a eventual rotação, recomenda-se fazê-lo o mais rápido possível. No caso improvável de um ator mal-intencionado ser capaz de explorar a chave raiz ADU.200702.R atual antes de uma rotação agendada, a equipe de Atualização de Dispositivo revogaria imediatamente a chave raiz ADU.200702.R e começaria a assinar com a chave raiz ADU.200703.R. Confirmar através de testes que os seus dispositivos suportam atualmente a chave raiz ADU.200703.R significa que o impacto deste cenário é minimizado.

A equipe de Atualização de Dispositivo criou um mecanismo de teste para validar se seus dispositivos podem receber conteúdo assinado com ADU.200703.R. Instruções:

1. Faça o download de um arquivo de teste especial. Esse arquivo exato deve ser usado, porque o serviço de Atualização de Dispositivo procura o hash do arquivo no momento da importação. O hash do arquivo correspondente em seu manifesto de importação deve ser: KGyJ9tM6JSLHQq0gdKUmsVvB6Y4z0pMKdQNAd8jTGH0=

2. Crie uma atualização para o teste. Você pode usar qualquer arquivo que desejar, mas também deve incluir o arquivo de teste especial em seu manifesto de importação. Uma prática recomendada é que a atualização altere o dispositivo de uma forma fácil de verificar, como alterar o número da versão de um arquivo ou adicionar um novo arquivo.

3. Importe e implemente a atualização nos seus dispositivos tal como faria normalmente.

4. Verifique se a atualização foi bem-sucedida em seus dispositivos. Se isso acontecer, seus dispositivos podem receber atualizações assinadas com ADU.200703.R e estão prontos para a próxima rotação (ou possível revogação).

Mais informações

Modelo de segurança da Atualização de Dispositivo