IoT安全解決方案：微軟Azure Sphere

Azure Sphere是一個針對物聯(lián)網(wǎng)設(shè)備的端到端的高度安全的解決方案，2020年2月正式商用，宣布著物聯(lián)網(wǎng)安全進入了新時代。日前微軟 Azure Sphere 首席解決方案專家Michael Yu和微軟物聯(lián)網(wǎng)架構(gòu)師Neo Xiong接受了EEWorld采訪，為大家介紹Azure Sphere究竟在安全領(lǐng)域都做了什么。

為什么要選擇微軟？

對于大部分的企業(yè)而言，安全并非他們的專長，因此選擇一個成熟的安全解決方案無疑是最佳的選擇，Azure Sphere就是在這樣的需求下而誕生。

微軟Azure是全球最為健全的云生態(tài)之一，500強企業(yè)中95％在使用Azure，云計算資源超過了AWS和谷歌的綜合。同時微軟也是物聯(lián)網(wǎng)服務(wù)平臺中最重要的供應(yīng)商之一，提供了完整的PaaS和SaaS服務(wù)。而在安全領(lǐng)域，微軟擁有30余年的網(wǎng)絡(luò)安全經(jīng)驗和10余年的硬件加密安全經(jīng)驗，使其成為獨樹一幟的云安全領(lǐng)導(dǎo)廠商。

2017年微軟先后發(fā)布了安全性完善模型以及高安全設(shè)備七大特性等研究成果，推動共建物聯(lián)網(wǎng)安全的最佳實踐，包括硬件的信任根深度防護，可信的計算機動態(tài)分區(qū)，基于證書的認證，故障報告，可更新的安全策略等，微軟認為，同時具備這七大特征，才可以算是高度安全。Gartner也有報告指出，客戶對安全認知還要有更多了解，不光是需要設(shè)備加密，使用安全的芯片等等，而是需要一個完整的設(shè)備安全。

安全七大特征

Azure Sphere三大元素淺析

微軟Azure Sphere是基于七大特征所開發(fā)的安全解決方案，包括三個元素，經(jīng)微軟認證內(nèi)置安全子系統(tǒng)的MCU、安全的操作系統(tǒng)以及安全的云服務(wù)。

其中針對處理器，內(nèi)置了微軟巖體安全子系統(tǒng)Pluton，用于產(chǎn)生和存儲密鑰，執(zhí)行加密算法以及提供內(nèi)部安全分區(qū)，并用總線級防火墻進行隔離。

如圖所示，微軟已經(jīng)與眾多領(lǐng)先的芯片供應(yīng)商開始合作開發(fā)基于微軟認證的物聯(lián)網(wǎng)MCU，其中首款問世的產(chǎn)品為聯(lián)發(fā)科MT3620?；谖④浀腁zure Sphere解決方案，安富利推出了Azure Sphere MT360入門套件，此套件能夠為物聯(lián)網(wǎng)項目的快速實施構(gòu)建原型，將全新的物聯(lián)網(wǎng)終端設(shè)備快速推向市場。（有關(guān)硬件部分請閱讀安富利MT3620模塊加速Azure Sphere物聯(lián)網(wǎng)安全落地）

每一顆Azure Sphere的芯片在生產(chǎn)的過程中，都會由內(nèi)部的Pluton生成一對公司秘鑰，公鑰會通過安全的渠道傳送到Azure Sphere安全云服務(wù)并進行記錄，私鑰則永遠不會離開Pluton模塊，確保了私鑰的安全性。

Azure Sphere的操作系統(tǒng)擁有四層架構(gòu)，同樣考慮了深度防護、動態(tài)分區(qū)等安全需求，從而設(shè)立了Security Monitor層，服務(wù)層以及容器層。其中Security Monitor運行在ARM TrustZone上，擁有對CPU資源所有的訪問權(quán)限，Linux內(nèi)核則對IoT場景進行了裁剪和優(yōu)化，讓系統(tǒng)精簡高效的同時減少攻擊面。服務(wù)層提供了OTA的雙向認證，設(shè)備管理，固件更新，以及錯誤報告收集等。而在應(yīng)用層Azure Sphere OS團隊為了維護API的兼容性，彼此容器間以及應(yīng)用與OTA間都是完全獨立運行的。

云服務(wù)保障物聯(lián)網(wǎng)設(shè)備的安全

在安全云服務(wù)方面，Azure Sphere安全云服務(wù)是部署在微軟公有云上面的SaaS服務(wù)，用戶只需要注冊和登陸就可以直接使用。主要包含設(shè)備身份的認證，設(shè)備OS與應(yīng)用程序的更新以及搜集設(shè)備的異常狀態(tài)并進行上報。

實際上，微軟針對物聯(lián)網(wǎng)安全的改進還有很多很多，這里不一一贅述，如果仔細閱讀Azure Sphere的說明，你會發(fā)現(xiàn)處處都有為確保安全所提供的細節(jié)。

Azure Sphere系統(tǒng)對所有MCU廠商都是開放的，對所有類型的云也都是開放的，對開發(fā)環(huán)境也是開放的，對生態(tài)系統(tǒng)也是開放的。也正因此，Azure Sphere獲得了眾多客戶的青睞。一個最典型例子就是星巴克，通過Azure Sphere，安全連接了遍布全球的3萬臺咖啡機，進行數(shù)字化改革，實現(xiàn)了咖啡機的設(shè)備運維及OTA等功能。

目前，已有多家中國合作伙伴推出了微軟Azure Sphere的Guardian Modules，滿足多種通信接口、多種場景的設(shè)備安全聯(lián)網(wǎng)需求，使傳統(tǒng)設(shè)備不需要任何硬件更新，就可以利用Guardian Modules實現(xiàn)安全的物聯(lián)網(wǎng)接入。

伴隨著微軟官方正式宣布商用，以及眾多大公司的先期采用，Azure Sphere已經(jīng)被證實是物聯(lián)網(wǎng)安全領(lǐng)域最佳的端到端解決方案之一，正如星巴克基礎(chǔ)設(shè)施和運營高級副總裁Jeff Wile所說，“采用微軟Azure Sphere，令星巴克的合作伙伴和員工可以更關(guān)注為顧客創(chuàng)造價值，Azure Sphere可確保全球咖啡的配方及口感一致，減少資源浪費，能源消耗以及設(shè)備運維的預(yù)測?！?/p>