Azure Sphere là gì?

Azure Sphere MCU tích hợp khả năng xử lý thời gian thực với khả năng chạy hệ điều hành cấp cao. Một Azure Sphere MCU, cùng với hệ điều hành và nền tảng ứng dụng của nó, cho phép tạo ra các thiết bị bảo mật, kết nối Internet có thể được cập nhật, kiểm soát, giám sát và bảo trì từ xa.

Azure Sphere là gì?

Azure Sphere là một nền tảng ứng dụng cấp cao, được trang bị các tính năng bảo mật và liên lạc tích hợp, dành cho những thiết bị kết nối Internet. Nó bao gồm một bộ vi điều khiển (MCU), hệ điều hành dựa trên Linux cấp độ cao tùy chỉnh và dịch vụ bảo mật dựa trên đám mây.

Cách Azure Sphere hoạt động

Để hiểu cách Azure Sphere hoạt động trong môi trường thế giới thực, hãy xem xét kịch bản này:

Contoso, Ltd., một nhà sản xuất đồ điện gia dụng, đã nhúng MCU Azure Sphere vào sản phẩm máy rửa chén của mình. Máy rửa chén DW100 kết hợp MCU với một số cảm biến và ứng dụng cấp cao chạy trên MCU Azure Sphere. Ứng dụng giao tiếp với Azure Sphere Security Service và các dịch vụ đám mây của Contoso.

Máy rửa chén kết nối mạng

Bắt đầu từ trên cùng bên trái và di chuyển theo chiều kim đồng hồ:

• Microsoft phát hành bản cập nhật cho hệ điều hành Azure Sphere thông qua Azure Sphere Security Service.
• Bộ phận kỹ thuật sản phẩm của Contoso phát hành các bản cập nhật cho ứng dụng DW100 thông qua Azure Sphere Security Service.
• Azure Sphere Security Service triển khai hệ điều hành được cập nhật và phần mềm ứng dụng Contoso DW100 cho máy rửa chén tại các địa điểm của người dùng cuối.
• Trung tâm hỗ trợ máy rửa chén Contoso liên lạc với Azure Sphere Security Service để xác định phiên bản nào của phần mềm Azure Sphere và phần mềm ứng dụng DW100 sẽ chạy trên mỗi thiết bị của người dùng cuối, thu nhặt bất kỳ dữ liệu báo lỗi nào đã được báo cáo, sau đó liên lạc với dịch vụ đám mây Contoso để biết thêm thông tin.
• Các dịch vụ đám mây của Contoso hỗ trợ ứng dụng khắc phục sự cố, phân tích dữ liệu và tương tác với khách hàng. Các dịch vụ đám mây của Contoso có thể được host bởi Microsoft Azure, dịch vụ đám mây của nhà cung cấp khác hoặc đám mây của chính Contoso.
• Các model Contoso DW100 tại các địa điểm của người dùng cuối tải xuống phần mềm ứng dụng và hệ điều hành được cập nhật qua kết nối với Azure Sphere Security Service. Họ cũng có thể liên lạc với ứng dụng dịch vụ đám mây của Contoso để báo cáo dữ liệu bổ sung.

7 tính năng bảo mật của Azure Sphere

Nền tảng Azure Sphere được thiết kế xung quanh 7 thuộc tính này:

• Sử dụng quy trình Hardware Root of Trust: Hardware Root of Trust đảm bảo rằng thiết bị và danh tính của thiết bị không thể tách rời, do đó ngăn chặn việc giả mạo thiết bị. Mỗi Azure Sphere MCU xác định bởi một khóa mật mã, được tạo và bảo vệ bởi phần cứng hệ thống con bảo mật Pluton do Microsoft thiết kế. Điều này đảm bảo phần cứng được bảo mật, chống giả mạo từ nhà máy đến người dùng cuối.
• Trusted Computing Base (TCB): Hầu hết phần mềm của thiết bị vẫn nằm ngoài Trusted Computing Base (TCB - tập hợp tất cả các thành phần phần cứng, firmware và/hoặc phần mềm quan trọng đối với bảo mật). Chỉ có Security Monitor, Pluton runtime và hệ thống con Pluton, tất cả đều do Microsoft cung cấp, là chạy trên TCB.
• Defense in depth: Defense in depth là một khái niệm được sử dụng trong bảo mật thông tin, ở đó nhiều lớp kiểm soát bảo mật được đặt trong hệ thống IT, cung cấp nhiều biện pháp giảm thiểu chống lại từng mối đe dọa. Mỗi lớp phần mềm trong nền tảng Azure Sphere xác minh rằng lớp bên trên nó cũng được bảo mật.
• Khoanh vùng: Việc khoanh vùng giới hạn phạm vi của bất kỳ sự cố nào. Azure Sphere MCU cung cấp các biện pháp đối phó, bao gồm tường lửa để ngăn chặn vi phạm bảo mật trong một thành phần ảnh hưởng đến các thành phần khác. Một môi trường runtime được sandbox và hạn chế ngăn các ứng dụng khỏi việc làm hỏng code hoặc dữ liệu bảo mật.
• Chứng thực dựa trên chứng chỉ: Việc sử dụng các chứng chỉ đã ký, xác thực bằng khóa mật mã, cung cấp mức xác thực mạnh hơn nhiều so với mật khẩu. Nền tảng Azure Sphere yêu cầu mọi yếu tố phần mềm đều phải được xác nhận. Giao tiếp giữa thiết bị với đám mây và đám mây đến thiết bị yêu cầu xác thực dựa trên chứng chỉ.
• Renewable security (một khái niệm phát triển sau các vụ hack liên tục hệ thống mã hóa TV analog vào cuối những năm 1980. Nói một cách đơn giản là thay vì thay thế hoàn toàn một hệ thống mã hóa bị hack, chỉ một phần nhỏ cần được thay thế để làm cho nó bảo mật trở lại): Phần mềm thiết bị được tự động cập nhật để sửa các lỗ hổng hoặc vi phạm bảo mật đã biết, mà không yêu cầu sự can thiệp từ nhà sản xuất sản phẩm hoặc người dùng cuối. Azure Sphere Security Service tự động cập nhật hệ điều hành Azure Sphere và các ứng dụng.
• Báo cáo sự cố: Lỗi trong phần mềm hoặc phần cứng thiết bị là ví dụ điển hình trong các cuộc tấn công bảo mật mới xuất hiện. Việc giao tiếp từ thiết bị đến đám mây cung cấp cảnh báo sớm về các lỗi tiềm ẩn. Các thiết bị Azure Sphere có thể tự động báo cáo dữ liệu vận hành và lỗi cho hệ thống phân tích dựa trên đám mây, đồng thời các bản cập nhật và dịch vụ có thể được thực hiện từ xa.

Các thông số kỹ thuật

Kiến trúc phần cứng

• Kiến trúc phần cứng Azure Sphere MCU

Mỗi lõi và hệ thống con liên kết của nó nằm trong một domain tin cậy khác nhau. Trong mỗi lớp, việc tách riêng tài nguyên và khoanh vùng cung cấp các biện pháp bảo mật bổ sung.

• Hệ thống con bảo mật Microsoft Pluton

Hệ thống con bảo mật Pluton bao gồm lõi bộ xử lý bảo mật, công cụ mã hóa, bộ tạo số ngẫu nhiên phần cứng, tạo public và private key, mã hóa bất đối xứng và đối xứng, hỗ trợ xác minh ECDSA.

• Lõi ứng dụng cấp cao

Lõi ứng dụng cấp cao có hệ thống con ARM Cortex-A với MMU đầy đủ. Nó cho phép khoanh vùng các tiến trình dựa trên phần cứng và chịu trách nhiệm thực thi hệ điều hành, các ứng dụng cấp cao và dịch vụ.

• Lõi thời gian thực

(Các) lõi thời gian thực có hệ thống con I/O ARM Cortex-M có thể chạy những ứng dụng trong thời gian thực dưới dạng code bare-metal hoặc RTOS (Real-Time Operating System). Các ứng dụng như vậy có thể ánh xạ các thiết bị ngoại vi và giao tiếp với những ứng dụng cấp cao, nhưng không thể truy cập trực tiếp vào internet.

• Kết nối và liên lạc

Azure Sphere MCU đầu tiên cung cấp WiFi 802.11 b/g/n hoạt động ở cả 2,4GHz và 5GHz. Các ứng dụng cấp cao có thể định cấu hình, sử dụng và truy vấn hệ thống con giao tiếp không dây, nhưng chúng không thể lập trình trực tiếp. Thay vì sử dụng WiFi, các thiết bị Azure Sphere được trang bị phù hợp có thể giao tiếp trên mạng Ethernet.

• Nhiều khả năng I/O

Nền tảng Azure Sphere hỗ trợ nhiều khả năng I/O, để bạn có thể cấu hình các thiết bị nhúng phù hợp với yêu cầu thị trường và sản phẩm. Các thiết bị ngoại vi I/O có thể được ánh xạ tới lõi ứng dụng cấp cao hoặc lõi thời gian thực.

• Tường lửa của Microsoft
• Flash và RAM tích hợp

Các MCU Azure Sphere bao gồm tối thiểu 4MB RAM và 16MB bộ nhớ flash tích hợp.

Kiến trúc phần mềm và hệ điều hành

• Nền tảng ứng dụng cấp cao

Microsoft cung cấp và duy trì tất cả các phần mềm khác ngoài những ứng dụng dành riêng cho thiết bị. Tất cả phần mềm chạy trên thiết bị, bao gồm cả ứng dụng cấp cao, đều được ký bởi cơ quan cấp chứng chỉ Microsoft (CA). Các bản cập nhật ứng dụng được phân phối thông qua Microsoft pipeline đáng tin cậy và tính tương thích của từng bản cập nhật với phần cứng thiết bị Azure Sphere được xác minh trước khi cài đặt.

• Runtime

Runtime do Microsoft cung cấp dựa trên tập hợp con của tiêu chuẩn POSIX. Nó bao gồm các thư viện và những runtime service trong chế độ người dùng NW. Môi trường này hỗ trợ các ứng dụng cấp cao mà bạn tạo.

• Service hệ điều hành

Các service hệ điều hành lưu trữ container ứng dụng cấp cao và chịu trách nhiệm liên lạc với Azure Sphere Security Service.

• Linux kernel tùy chỉnh

Kernel dựa trên Linux tùy chỉnh chạy trong chế độ Supervisor, cùng với boot loader. Giám sát bảo mật

• Giám sát bảo mật

Giám sát bảo mật do Microsoft cung cấp chạy trong SW. Nó chịu trách nhiệm bảo vệ phần cứng nhạy cảm, chẳng hạn như bộ nhớ, flash và các tài nguyên MCU được chia sẻ khác, chỉ để quyền truy cập hạn chế vào các tài nguyên này.