传统上，安全性围绕着保护网络和软件应用程序。然而，随着越来越多的设备连接到互联网，威胁上升，出现了前所未有的需要保护硬件除了数据从边缘设备流向云端之外。因此，集成所有四层(硬件、软件、网络和云)的安全性对于安全的物联网部署至关重要。我们已经看到这在以数据为中心的设备上被采用，比如智能手机．

启用硬件安全性的选项是什么?

关键是在芯片组(MCU/SoC)级别保护硬件，首先保护流经内部总线的数据。这可以通过在设备内的系统中嵌入安全元素(SE)来实现，例如物理不可克隆功能puf、可信平台模块(tpm)或硬件安全模块(HSM)。此外，在安全enclave/PUF中进行密钥注入以及加密密钥管理，以确保设备的安全身份，并为设备内部以及从设备到云的数据流创建安全隧道。

安全硬件将如何帮助微软?

微软是领先的端到端物联网平台通过Azure物联网平台，全球数以万计的企业的数百万边缘物联网设备连接到其Azure云。微软还一直在提供Azure Edge物联网软件，以实现边缘计算和智能决策。因此，微软必须确保运行其Azure实例的数百万台设备不受威胁，并安全连接到其云。

有鉴于此，微软一直在寻求与硅合作伙伴构建安全芯片，以创建“基于硬件的信任根”。这会有所帮助解决克隆和假冒问题同时也会建立安全认证其物联网中心平台通过唯一可信标识．

为了实现这一目标，早在2018年，微软宣布Azure Sphere构建多层次的端到端安全。从那时起，微软Azure Sphere已经发展和构成三个关键要素：

来源:微软

• 硬件: Azure Sphere将安全密钥(公共)嵌入到安全/单片机微处理器由其提供动力深成岩体安全子系统。
  • Pluton包括一个带有随机数生成器的安全处理器单元(RNG）
  • 抗篡改和侧通道攻击
  • 其他加密和加密工具
  • 用于远程认证和基于证书的安全性的安全引导

例如，联发科MT3620包含一个独立的安全子系统，具有自己的Arm Cortex-M4F核心，可处理安全引导和安全系统操作。M4F安全处理器具有128kB安全的TCM和64kB安全的掩码ROM引导加载程序。

来源:微软

• 软件：Azure Sphere操作系统：
  • Azure Sphere OS由一个自定义的Linux内核组成，它运行在2.4MB的代码存储上，这是针对Azure Sphere MCU的闪存和RAM占用进行了仔细调优，以减少其攻击面。
  • 操作系统与云中Azure Sphere Security服务进行通信，以实现所有出站流量的安全设备身份验证、网络管理和应用程序管理。
  • 它进行安全监控，以保护内存，闪存和其他MCU资源限制暴露。
  • 操作系统包括微软提供的应用程序运行时，以限制对文件I/O或shell访问的访问。
  • 它还包括一个高级应用程序平台，该平台由Microsoft Certificate Authority (CA)通过可信管道签署，以维护除特定于设备的应用程序之外的所有软件。
• 云：Azure Sphere安全服务
  • Azure Sphere安全服务经纪人的信任用于设备到云通信，检测威胁并更新设备安全性CA基于验证的，故障报告以及操作系统的自动更新。
  • Azure Sphere在云中嵌入了一个私有密钥，从而启用非对称加密而且验证设备在制造过程中使用成对的公钥。
  • 此外,Azure哨兵通过人工智能提供云安全。

所有三个元素的集成使使用非对称加密的信任硬件根．此外，它创建了一个安全的隧道为了保证数据从芯片到云端的安全流动，同时保证了数据的安全性休息而在过境。

下图描述了Azure Sphere在卫士物联网模块上运行，用于棕地物联网部署

来源:微软

不断增长的合作伙伴生态系统:

• 芯片:
  • 在2018年,圣微STM32，安全MCU嵌入安全元素，集成Azure IoT C SDK，可直接安全连接到Azure IoT Hub，并全面支持Azure设备管理。
  • 2019年中期,NXP公司的MX 8系列集成了微软的Azure Sphere安全体系结构和Pluton安全子系统。
  • 联发科MT3620已准备好Azure Sphere
  • 2019年底，高通的9205 LTE多模调制解调器支持LTE- m / NB-IoT与微软Azure Sphere集成。
• 模块
  • Avnet而且qiio提供Avnet Guardian 100和qiio q200 Guardian(插件)模块用于改造现有的棕地设备，这些设备缺乏连接和安全性，但需要连接到互联网。
  • 其他模块包括AvnetAES-MS-MT3620,AI-LinkWF-M620-RSC1和USIWi-Fi模块与蓝牙选项。

通过这种方法，微软正在构建一种高度可扩展和安全的方法，用于机载、管理和连接物联网设备，并确保数据安全地从设备传输到云端。这消除了大多数物联网客户聘请昂贵的安全专业人员的需要。

案例研究:星巴克

星巴克已经在其北美门店部署了Azure Sphere。每家星巴克门店都有大约10到12台每天运行超过15个小时的设备，需要连接到云端以获取饮料相关数据(每杯饮料产生10到12个数据点，价值5MB)、资产监控和任何预测性维护，以避免中断。这一点很重要，因为任何设备故障都与商店的业绩、业务和客户的不满成正比。因此，星巴克一直在微软的帮助下，在其所有棕地设备上使用Azure Sphere部署的守护模块，以安全地将数据连接并聚合到云端。

来源:微软

芯片到云安全是黄金标准

安全与隐私都是全球对物联网的担忧，无论哪个国家。安全性是物联网的主要障碍之一。然而，在过去的两年里，我们已经看到了采用芯片到云的安全性，因为对威胁及其可扩展解决方案的认识有所提高。端到端安全对于未来任何物联网部署的成功至关重要，以保护资产和数据，在大多数情况下，数据甚至更有价值。