Identité et sécurité de l’appareil

Vous pouvez déployer et gérer plusieurs appareils à la fois. La gestion des appareils est basée sur la possibilité d’identifier et d’accéder individuellement à chaque appareil si nécessaire. Pour vous permettre de procéder ainsi, chaque appareil Azure Sphere reçoit un ID d’appareil interne unique qui persiste par le biais de toutes les mises à jour de l’appareil, y compris les opérations de récupération.

Toutefois, dans les systèmes numériques, l’ID d’un appareil peut facilement être usurpé, falsifié ou mal utilisé. Par conséquent, vous devez autoriser uniquement les appareils dont les identités peuvent être vérifiées et validées pour accéder à vos données hautement précieuses et vous connecter à vos services.

Azure Sphere fournit un processus permettant à un appareil de s’identifier (authentification) et de confirmer l’identité de l’appareil (attestation). Le processus d’authentification et d’attestation utilisé par le service de sécurité Azure Sphere utilise des clés pré-connues, des communications sécurisées et du matériel spécialisé pour confirmer l’identité d’un appareil. Si l’authentification et l’attestation de l’appareil réussissent, un certificat est émis à l’appareil. Un certificat valide indique que :

• L’identité de l’appareil a été vérifiée.
• L’appareil peut être approuvé.

Avec Azure Sphere, les certificats d’appareil sont chaînés d’abord à un certificat au niveau du locataire (ce qui permet à une organisation d’approuver facilement les appareils de ses propres locataires), puis à un certificat Microsoft, ce qui reflète que Microsoft a validé que ce matériel est une instance vérifiée d’une puce Azure Sphere certifiée exécutant un système d’exploitation Microsoft sécurisé.

Les concepts suivants peuvent aider à utiliser l’identité de l’appareil de manière la plus sécurisée et efficace :

• La confiance est temporaire
  La confiance dans un système peut être perdue et peut être rétablie. Un principe d’implémentation de l’architecture Confiance Zéro dans un système IoT consiste à vérifier explicitement. Cela signifie que chaque fois que vous avez une interaction avec un appareil, déterminez explicitement l’authenticité de l’appareil et prouvez que la transaction de données est fiable. Les appareils Azure Sphere effectuent automatiquement un processus d’authentification et d’attestation toutes les 24 heures avec les services de sécurité cloud Azure Sphere. Une indication indiquant que l’identité d’un appareil a été vérifiée avec succès est la présence d’un certificat signé par chiffrement, rooté dans le service de sécurité cloud Microsoft Azure Sphere.

• Identité = identificateurs + attestation
  Les identificateurs peuvent être copiés et dupliqués. Par conséquent, un appareil ne peut pas simplement être connu par son identificateur. L’identité d’un appareil (ou l’identité d’un utilisateur) doit être considérée comme une combinaison d’un identificateur et d’une attestation indiquant qu’un tel identificateur est valide dans un contexte spécifique. Vous ne devez pas affecter d’identificateurs aux appareils et les utiliser indépendamment du processus d’attestation. Si possible, combinez des identificateurs avec des preuves d’attestation à chaque couche d’interaction au sein de vos systèmes.

• Identificateurs + certificats d’approbation
  Un identificateur ne doit pas être considéré comme une référence. Seul il ne doit pas être supposé indiquer quoi que ce soit sur la fiabilité de l’objet qu’il référence. Par exemple, utilisez un identificateur pour vous abonner aux messages MQTT, utilisez un identificateur pour regrouper les données approuvées dans un portail et utilisez des identificateurs pour router le trafic et les données dans un système. Toutefois, lorsqu’il s’agit d’approuver, plutôt que d’approuver l’identificateur, approuvez un certificat signé par chiffrement et chaîné. Les certificats sont particulièrement bénéfiques pour le flux de données sans mot de passe entre les composants système et sont des preuves d’identification testées et éprouvées dignes de confiance dans un contexte spécifique.

Lors de l’utilisation d’Azure IoT Hub, s’il est configuré en fonction des recommandations documentées, ces concepts sont déjà incorporés, ce qui simplifie le déploiement d’un système sécurisé et résilient.

Vous devez également appliquer ces concepts lors de la connexion à des points de terminaison ou services non-Azure que vous contrôlez directement. Par exemple, si vous utilisez MQTT, un appareil peut inclure sa propre identité dans le cadre de la rubrique MQTT dans laquelle il publie. Toutefois, avant d’accepter une mise à jour de rubrique à partir de l’appareil, le serveur MQTT doit vérifier que le certificat fourni par l’appareil l’authentifie pour publier sur cette rubrique spécifique.

Certificat d’appareil Azure Sphere et accès à l’ID d’appareil

• Pour accéder à un certificat d’appareil dans votre application, utilisez la fonction DeviceAuth_GetCertificatePath .

• Pour accéder à l’ID d’appareil unique de l’appareil, analysez l’objet à partir du certificat fourni par la fonction DeviceAuth_GetCertificatePath() à l’aide de la fonction wolfSSL_X509_get_subject_name .

L’extrait de code Obtenir l’ID d’appareil Azure Sphere montre comment obtenir l’ID d’appareil Azure Sphere dans une application de haut niveau. Elle retourne l’ID d’appareil en tant que mémoire tampon de caractères de 128 caractères. Cet extrait de code commande wolfSSL pour ouvrir une session avec le certificat, extraire le contexte et le certificat, analyser l’ID d’objet du certificat qui est l’ID d’appareil pour les appareils Azure Sphere et le renvoyer en tant que char pointeur.