Concetti chiave per la gestione dei certificati (anteprima)

La gestione dei certificati in Azure Device Registry semplifica la gestione dei certificati X.509 per i dispositivi IoT. Questo articolo introduce i concetti fondamentali relativi alla gestione dei certificati e all'autenticazione basata su certificati. Per altre informazioni, vedere Che cos'è la gestione dei certificati (anteprima)?

Infrastruttura a chiave pubblica cloud (PKI)

L'infrastruttura a chiave pubblica (PKI) è il quadro costituito da autorità di certificazione, chiavi crittografiche, politiche e processi utilizzati per emettere, gestire, rinnovare e revocare certificati digitali. I certificati sono essenziali per proteggere vari casi d'uso, come l'identità web e del dispositivo. Storicamente, le organizzazioni costruiscono e gestiscono il proprio ambiente PKI, che spesso include moduli di sicurezza hardware (HSM), software di autorità di certificazione e procedure operative che possono essere particolarmente complesse per le flotte IoT.

Una PKI cloud offre le stesse capacità di autorità di certificazione della PKI tradizionale, ma le fornisce come servizio cloud gestito. Invece di distribuire e gestire autonomamente l'infrastruttura PKI, le organizzazioni consumano servizi di certificato tramite API gestite dal cloud, flussi di lavoro del ciclo di vita e operazioni automatizzate. Puoi utilizzare la gestione dei certificati in Azure Device Registry per migliorare la sicurezza dei tuoi dispositivi e accelerare la trasformazione digitale verso un servizio PKI cloud completamente gestito.

PKI cloud Microsoft vs. PKI di terze parti

Sebbene hub IoT supporti due tipi di provider PKI per l'autenticazione dei certificati X.509, la gestione dei certificati nel Registro Dispositivi Azure attualmente supporta solo Microsoft Cloud PKI porta la tua CA. Per informazioni sull'uso di provider PKI di terze parti, vedere Autenticare i dispositivi con certificati CA X.509.

Ogni namespace riceve il proprio ambiente cloud PKI logicamente isolato, assicurando che le operazioni sui certificati siano limitate alle risorse all'interno di tale namespace. I clienti non gestiscono la PKI cloud come una risorsa Azure separata. Invece, la PKI cloud viene automaticamente provisionata, con ambito definito e gestita come parte di uno spazio dei nomi di Azure Device Registry.

Certificati X.509

Un certificato X.509 è un documento digitale che associa una chiave pubblica all'identità di un'entità, ad esempio un dispositivo, un utente o un servizio. L'autenticazione basata su certificati offre diversi vantaggi rispetto a metodi meno sicuri:

• I certificati usano la crittografia a chiave pubblica/privata. La chiave pubblica viene condivisa liberamente, mentre la chiave privata rimane nel dispositivo e può risiedere all'interno di TPM (Trusted Platform Modules) o elementi sicuri. Ciò impedisce agli attaccanti di falsificare il dispositivo.
• I certificati vengono rilasciati e convalidati tramite una gerarchia di autorità di certificazione (CA), consentendo alle organizzazioni di considerare attendibili milioni di dispositivi tramite una singola CA senza gestire i segreti per ogni dispositivo.
• I dispositivi si autenticano sul cloud e il cloud si autentica sul dispositivo, consentendo l'autenticazione Mutual Transport Layer Security (mTLS).

Tipi di certificati

Esistono due categorie generali di certificati X.509:

• Certificati CA: Questi certificati vengono rilasciati da un'autorità di certificazione (CA) e vengono usati per firmare altri certificati. I certificati CA includono certificati radice e intermedi.

  • CA radice: Un certificato radice è un certificato di primo livello autofirmato da una CA attendibile che può essere usata per firmare ca intermedie.

  • CA intermedia o emittente: Un certificato intermedio è un certificato di un'autorità di certificazione (CA) firmato da un certificato radice attendibile. Può essere utile usare certificati intermedi diversi per set o gruppi di dispositivi diversi, ad esempio dispositivi di produttori diversi o modelli diversi di dispositivi.

• Certificati di entità finale o certificati di dispositivo: I certificati CA firmano questi certificati, che possono essere certificati individuali o di dispositivo. La CA li rilascia poi agli utenti, ai server o ai dispositivi.

Operazioni del ciclo di vita dei certificati

La gestione dei certificati supporta l'intero ciclo di vita delle autorità certificanti e dei certificati dei dispositivi. Comprendere le diverse operazioni del ciclo di vita aiuta a garantire che i dispositivi mantengano una connettività sicura e ininterrotta per tutta la durata operativa.

• Rilascio: Il processo di generazione e firma di un nuovo certificato per un'autorità di certificazione o un dispositivo. Questo processo inizia con una richiesta di firma del certificato.

• Rinnovo: Il processo di estensione della validità di un certificato del dispositivo emettendo un certificato sostitutivo prima della scadenza del certificato attuale. I certificati del dispositivo possono essere rinnovati senza richiedere che il dispositivo venga riprovvisionato.

• Rotazione: Il processo di sostituzione di un'autorità certificatrice con una nuova autorità certificante mantenendo il rapporto di fiducia. La rotazione viene comunemente eseguita quando una CA intermedia si avvicina alla scadenza o quando i requisiti crittografici cambiano.

• Revoca: Il processo di invalidazione di un certificato prima della sua data di scadenza se non è più considerato attendibile, compromesso o non più autorizzato all'uso.

• Scadenza: La fine del periodo di validità di un certificato. I certificati scaduti non possono più essere utilizzati per l'autenticazione e devono essere rinnovati o sostituiti.

Richiesta di firma del certificato

Una richiesta di firma del certificato (CSR) è un messaggio firmato digitalmente che un client, ad esempio un dispositivo IoT, genera per richiedere un certificato firmato da un'autorità di certificazione (CA). La richiesta di firma del certificato include la chiave pubblica del dispositivo e le informazioni di identificazione, ad esempio l'ID di registrazione, e viene firmata con la chiave privata del dispositivo per dimostrare la proprietà della chiave. Una Richiesta di firma del certificato (CSR) deve rispettare i requisiti dei criteri della PKI, inclusi gli algoritmi chiave approvati, le dimensioni delle chiavi e i formati del campo soggetto. Quando un dispositivo genera una nuova chiave privata, genera anche una nuova richiesta di firma del certificato. Dopo che la CA verifica e approva la richiesta di firma del certificato, rilascia un certificato X.509 che associa l'identità del dispositivo alla chiave pubblica. Questo processo garantisce che solo i dispositivi possano dimostrare il possesso della chiave privata ricevono certificati attendibili.

Per ulteriori informazioni sui requisiti della richiesta di firma del certificato in Azure Device Registry, vedi Emissione dei certificati in Azure Device Registry.

Rotazioni dell'autorità di certificazione

La rotazione dell'autorità di certificazione è il processo programmato o d'emergenza che consiste nella sostituzione di un certificato CA root o intermedio esistente con uno nuovo prima che il vecchio certificato scada o venga compromesso. Poiché la CA è l'ancora fiduciaria e firma tutti i certificati a valle, sostituirla aggiorna la base crittografica di ogni dispositivo.

In Azure Device Registry, le autorità di certificazione vengono automaticamente ruotate prima della scadenza:

1. Nuova generazione di CA: Prima che una CA scada, l'ADR fornisce automaticamente una CA sostitutiva. Questo passaggio avvia un periodo di transizione in cui i servizi IoT si fidano sia delle vecchie che delle nuove CA. I certificati di dispositivi rilasciati da ADR non possono avere una data di scadenza successiva a quella della relativa CA intermedia, quindi non devi mai preoccuparti dei certificati residui.

2. Rinnovo del certificato dispositivo: Durante questa finestra, il dispositivo dovrebbe migrare per utilizzare la sua CA sostitutiva. I dispositivi possono semplicemente richiedere un nuovo certificato secondo il regolare processo di rinnovo del certificato del dispositivo. L'ADR inoltra automaticamente le richieste di firma del certificato del dispositivo alla nuova CA intermedia.

3. Deprecazione della vecchia CA: Una volta chiusa la finestra di transizione, l'ADR dismette la vecchia CA. Qualsiasi dispositivo che non recupera un nuovo certificato non supera l'autenticazione TLS reciproca (mTLS) e perde la connettività. Questi dispositivi possono richiedere un nuovo certificato per collegarsi all'hub IoT.

Algoritmi crittografici e tipi di chiavi

I certificati utilizzano la crittografia a chiave pubblica per stabilire fiducia tra dispositivi e servizi. Ogni certificato contiene una chiave pubblica ed è firmato da un'autorità certificatrice (CA) utilizzando un algoritmo di firma crittografica. La forza, le prestazioni e la compatibilità di un certificato dipendono dall'algoritmo della chiave, dalla dimensione della chiave e dall'algoritmo di hashing che utilizzi durante la creazione e la firma del certificato.

Algoritmi chiave

La gestione dei certificati utilizza la crittografia asimmetrica per stabilire identità digitali affidabili. Nella crittografia asimmetrica, per l'autenticazione, le firme digitali e la crittografia si utilizza una coppia di chiavi pubbliche e private matematicamente correlate. La scelta dell'algoritmo crittografico influenza la forza della sicurezza, le caratteristiche di prestazioni, l'interoperabilità e i requisiti di risorse. La gestione dei certificati in Azure Device Registry utilizza la crittografia a curva ellittica (ECC) per firmare i certificati.

Dimensione del tasto e curva del tasto

La dimensione della chiave o curva della chiave determina la forza crittografica della coppia di chiavi pubblico/privata di un certificato. Chiavi di dimensioni maggiori o curve più forti generalmente forniscono una maggiore forza crittografica, ma possono anche influenzare la dimensione del certificato, i requisiti di elaborazione e le prestazioni. Ad esempio, la gestione dei certificati in Azure Device Registry emette certificati ECC utilizzando la curva P-384.

Algoritmi di hashing

Le autorità di certificazione utilizzano funzioni di hash crittografico quando firmano i certificati. Una funzione hash genera un digest di lunghezza fissa dei contenuti del certificato, che la CA emittente poi firma digitalmente. Gli algoritmi di hashing aiutano a garantire l'integrità dei certificati, il rilevamento delle manomissioni, la validazione della catena di fiducia e la verifica della firma digitale. La gestione dei certificati in Azure Device Registry utilizza SHA-384.

Firme digitali

Quando un'autorità di certificazione emette un certificato, firma digitalmente il certificato utilizzando la propria chiave privata e l'algoritmo di firma scelto.

Durante la validazione del certificato:

1. L'hash del certificato viene ricalcolato.

2. La chiave pubblica della CA verifica la firma digitale.

3. La catena di certificati viene validata fino a una root CA affidabile.

Se modifichi qualsiasi certificato della catena, la validazione della firma fallisce e il certificato non può essere considerato attendibile.

Chiavi protette hardware vs. chiavi protette da software

Le Autorità di Certificazione (CA) si affidano a chiavi private per emettere e firmare i certificati. La sicurezza di una CA dipende molto da come generi, memorizzi e usi queste chiavi private.

Le chiavi protette dal software vengono memorizzate nel software e si basano sulle protezioni del sistema operativo per prevenire accessi non autorizzati. Sebbene più semplici da implementare, le chiavi software sono generalmente più vulnerabili a compromessi tramite malware, furto di credenziali, configurazioni errate o accessi amministrativi non autorizzati.

Le chiavi protette dall'hardware vengono generate e memorizzate all'interno di un Hardware Security Module (HSM), un dispositivo crittografico dedicato progettato per proteggere il materiale sensibile delle chiavi. Le chiavi private memorizzate in un HSM non escono mai dal confine hardware e tutte le operazioni di firma crittografica vengono eseguite all'interno del dispositivo. Questo riduce significativamente il rischio di esposizione delle chiavi e aiuta le organizzazioni a rispettare rigorosi requisiti di sicurezza e conformità.

Azure Device Registry utilizza chiavi protette tramite hardware per le autorità di certificazione. Le chiavi private delle autorità di certificazione sono protette tramite l'uso di Azure Key Vault Managed HSM, garantendo che le operazioni di firma avvengano all'interno di un confine di sicurezza hardware validato tramite FIPS e che il materiale delle chiavi private non possa essere esportato.

CA online vs. CA offline

Puoi anche classificare le Autorità Certificanti in base alla loro accessibilità di rete e al modello operativo.

Una CA offline rimane scollegata dalle reti di produzione per la maggior parte della sua vita. Usa le CA offline come root CA ad alta garanzia perché la chiave privata è isolata dalle minacce basate sulla rete. Le azioni amministrative richiedono tipicamente processi manuali, rendendo le CA offline altamente sicure ma operativamente intensive.

Una CA online si collega a una rete e può eseguire automaticamente l'emissione dei certificati, il rinnovo e le operazioni di ciclo di vita. Le CA online consentono una gestione e automazione scalabile dei certificati, ma richiedono controlli robusti per proteggere le chiavi di firma e l'infrastruttura CA.

Azure Device Registry utilizza autorità di certificazione online per supportare l'emissione, il rinnovo, la revoca e la rotazione automatica dei certificati su scala cloud. Azure Managed HSM protegge queste CA online utilizzando uno storage di chiavi supportato dall'hardware, combinando i benefici operativi delle CA online con forti controlli di protezione delle chiavi. I clienti che utilizzano il modello di fiducia Bring Your Own CA (BYOCA) mantengono comunemente offline la loro CA root e la utilizzano solo per stabilire fiducia nelle autorità di certificazione che emettono online. Questo approccio combina i benefici di sicurezza di un ancoraggio fiduciario offline con la scalabilità delle CA online gestite dal cloud.

Autenticazione e autorizzazione

• L'autenticazione significa dimostrare l'identità dell'hub IoT. Verifica che un utente o un dispositivo sia chi dichiara di essere. Questo processo viene spesso chiamato AuthN.

• L'autorizzazione significa confermare ciò che un utente o un dispositivo autenticato può accedere o eseguire nell'hub IoT. Definisce le autorizzazioni per le risorse e i comandi. L'autorizzazione viene talvolta denominata AuthZ.

hub IoT utilizza certificati X.509 solo per l'autenticazione, non per l'autorizzazione. A differenza di Microsoft Entra ID e delle firme di accesso condiviso, i certificati X.509 non supportano permessi personalizzabili.

Contenuti correlati

• Distribuire hub IoT di Azure con l'integrazione ADR e la gestione dei certificati

• Che cos'è la gestione dei certificati X.509 supportata da Microsoft?

• Integrazione con Registro dispositivi di Azure