Confidential Computing im Edge-Bereich

Gilt für: IoT Edge 1.5

Azure IoT Edge unterstützt vertrauliche Anwendungen, die innerhalb sicherer Enklaven auf dem Gerät ausgeführt werden. Verschlüsselung bietet Sicherheit für Daten während der Übertragung oder im Ruhezustand, aber Enklaven bieten Sicherheit für Daten und Workloads während der Verwendung. IoT Edge unterstützt Open Enclave als Standard für die Entwicklung vertraulicher Anwendungen.

Sicherheit ist ein wichtiger Schwerpunkt des Internet of Things (IoT), da IoT-Geräte häufig in der Welt sind und nicht innerhalb einer privaten Einrichtung gesichert sind. Durch dieses Risiko können Geräte manipuliert und gefälscht werden, weil sie für böswillige Benutzer physisch zugänglich sind. IoT Edge-Geräte benötigen mehr Vertrauen und Integrität, da sie vertrauliche Workloads am Edge ausführen. Im Gegensatz zu gängigen Sensoren und Aktoren können diese intelligenten Edgegeräte sensible Workloads verfügbar machen, die zuvor nur in geschützten Cloud- oder lokalen Umgebungen ausgeführt wurden.

Der Sicherheits-Manager IoT Edge Security Manager ist ein Teil der Confidential Computing-Ressourcen. Der Sicherheits-Manager verwendet ein Hardwaresicherheitsmodul (HSM), um die Identitätsworkloads und laufenden Prozesse eines IoT Edge-Geräts zu schützen.

Ein weiterer Aspekt der vertraulichen Datenverarbeitung ist der Schutz von Daten, die am Edge verwendet werden. Eine vertrauenswürdige Ausführungsumgebung (TEE) ist eine sichere, isolierte Umgebung auf einem Prozessor, die manchmal als Enklave bezeichnet wird. Eine vertrauliche Anwendung ist eine Anwendung, die in einer Enklave ausgeführt wird. Aufgrund der Art von Enklaven werden vertrauliche Anwendungen vor anderen Apps geschützt, die im Hauptprozessor oder in der TEE ausgeführt werden.

Vertrauliche Anwendungen in IoT Edge

Vertrauliche Anwendungen werden während der Übertragung und im Ruhezustand verschlüsselt und nur entschlüsselt, um innerhalb einer vertrauenswürdigen Ausführungsumgebung auszuführen. Dieser Standard gilt für vertrauliche Anwendungen, die als IoT Edge-Module bereitgestellt werden.

Entwickler erstellen vertrauliche Anwendungen und verpacken sie als IoT Edge-Module. Die Anwendung wird verschlüsselt, bevor sie an die Containerregistrierung übertragen wird. Die Anwendung bleibt während des gesamten IoT Edge-Bereitstellungsprozesses so lange verschlüsselt, bis das Modul auf dem IoT Edge-Gerät gestartet wird. Sobald sich die vertrauliche Anwendung in der TEE des Geräts befindet, wird sie entschlüsselt und kann mit der Ausführung beginnen.

Vertrauliche Anwendungen auf IoT Edge erweitern Azure Confidential Computing. Workloads, die innerhalb sicherer Enklaven in der Cloud ausgeführt werden, können auch für die Ausführung innerhalb sicherer Enklaven im Edge-Bereich bereitgestellt werden.

Öffnen der Enklave

Das Open Enclave SDK ist ein Open-Source-Projekt, mit dem Entwickler vertrauliche Anwendungen für mehrere Plattformen und Umgebungen erstellen können. Das Open Enclave SDK arbeitet innerhalb der vertrauenswürdigen Ausführungsumgebung (TEE) eines Geräts, während die Open Enklave-API als Schnittstelle zwischen dem TEE und der Nicht-TEE-Verarbeitungsumgebung fungiert.

Open Enclave unterstützt mehrere Hardwareplattformen. Die IoT Edge-Unterstützung für Enklaven erfordert das Open Portable TEE-Betriebssystem (OP-TEE Betriebssystem). Weitere Informationen finden Sie unter Open Enclave SDK für OP-TEE OS.

Das Open Enclave-Repository enthält Beispiele, die Entwicklern bei den ersten Schritten helfen. Wenn Sie weitere Informationen wünschen, wählen Sie einen der Einführungsartikel aus:

• Entwickeln von Open Enclave SDK-Beispielen unter Linux
• Entwickeln von Open Enclave SDK-Beispielen unter Windows

Gerätetechnik

Zurzeit ist TrustBox von Scalys das einzige Gerät, das mit Herstellerserviceverträgen für die Bereitstellung vertraulicher Anwendungen als IoT Edge-Module unterstützt wird. Die TrustBox basiert auf den Geräten „TrustBox Edge“ und „TrustBox EdgeXL“, die beide vorab mit „Open Enclave SDK“ und „Azure IoT Edge“ geladen wurden.

Weitere Informationen finden Sie unter Getting started with Open Enclave for the Scalys TrustBox (Erste Schritte mit Open Enclave für die TrustBox von Scalys).

Entwickeln und Bereitstellen

Wenn Sie zum Entwickeln und Bereitstellen Ihrer vertraulichen Anwendung bereit sind, kann Ihnen die Microsoft Open Enclave-Erweiterung für Visual Studio Code dabei helfen. Sie können entweder Linux oder Windows als Ihren Entwicklungscomputer zum Entwickeln von Modulen für die TrustBox verwenden.

Nächste Schritte

Informieren Sie sich über die ersten Schritte der Entwicklung vertraulicher Anwendungen als IoT Edge-Module mit der Open Enclave-Erweiterung für Visual Studio Code.