מהו אישור מכשיר ב-Azure DPS?

Attestation הוא תהליך קריפטוגרפי מאובטח שבו מכשיר מוכיח את זהותו בפני Azure Device Provisioning Service במהלך ההפעלה הראשונה. כך DPS יכול לוודא הרשאה לפני שהוא מקצה את המכשיר ל-IoT Hub.

האם אפשר להשתמש באישורי X.509 עם קבוצות רישום (enrollment groups)?

כן. אישורי X.509 מתאימים במיוחד לקבוצות רישום, ומאפשרים למשפחות שלמות של מכשירים החתומים על ידי intermediate או root CA מהימן להירשם באופן אוטומטי, ללא ניהול רשומות פרטניות לכל מכשיר.

TPM מול X.509 מול מפתחות סימטריים: בחירת שיטת ה-Attestation הנכונה עבור Azure DPS

Q: מדוע מפתחות סימטריים נחשבים לסיכון אבטחה בצי גדול?

מפתחות סימטריים מבוססים על סוד משותף. אם תוקף מחלץ את הסוד ממכשיר פיזי אחד, הוא מקבל גישה לא מורשית לכל משאב ענן או לכל קבוצת מכשירים שחולקת את אותו סוד.

By Mirko Peters · 2026-10-19

השוואה בין TPM, X.509 ומפתחות סימטריים עבור Azure DPS. למדו כיצד לבחור את שיטת ה-attestation הנכונה כדי להקים בצורה מאובטחת מעל 100,000 מכשירי IoT.

Automatically translated with AI from the original post. Read the English original

Cover: Azure DPS: Why Provisioning 100,000 IoT Devices Is an Architecture Problem

בחירת שיטת ה-device attestation הנכונה ב-Azure Device Provisioning Service (DPS) קובעת אם צי ה-IoT שלכם, הכולל 100,000 מכשירים, יישאר מאובטח בקנה מידה גדול או יהפוך לפגיע לפריצה בשרשרת האספקה. המדריך הזה בוחן את Trusted Platform Modules (TPM), אישורי X.509 ומפתחות סימטריים, ועוזר לארכיטקטים של הענן להתאים את הוכחה הקריפטוגרפית האידיאלית למודל הייצור והתפעול שלכם.

עיקרי הדברים

Attestation הוא המנגנון הקריפטוגרפי שבאמצעותו מכשירים מוכיחים את זהותם בפני Azure DPS במהלך הרישום בהפעלה הראשונה.
attestation מבוסס TPM קושר את הזהות לשבב חומרה, ומונע ממעתקים של תמונות דיסק משובטות לרשת גישה לענן.
אישורי X.509 מציעים מדרגיות ללא תחרות עבור שרשראות אספקה רב-שכבתיות וצי ארגוניים ארוכי טווח.
מפתחות סימטריים מפשטים בדיקות מעבדה ואב-טיפוס ראשוני, אך מציבים סיכון גבוה אם הסודות המשותפים יחולצו.
קבוצות רישום מאפשרות למנהלים להחיל מדיניות אבטחה עקבית על משפחות שלמות של מכשירים, במקום לנהל רשומות באופן ידני.

הבנת ה-Attestation בהקמת צי מכשירים

כאשר פורסים צי גדול של שערי תעשייה, חיישנים בקצה הרשת או מכשירים חכמים, הקמת גבול אמון מאובטח היא המכשול הארכיטקטוני המרכזי. עשרה מכשירים על ספסל בדיקות אפשר להגדיר ידנית עם סודות קשיחים בקוד או סיסמאות פשוטות. אבל ניסיון לעשות זאת עם מאה אלף יחידות הפזורות במפעלים ברחבי העולם הופך כל קיצור דרך ניהולי לפגיעות אבטחתית.

Azure DPS פועל כדלפק קבלה מאובטח לסביבת הענן שלכם. לפני שמכשיר מוקצה ל-IoT Hub לצורך תעבורת טלמטריה ופקודות יומיומית, עליו להוכיח את זהותו. הוכחה קריפטוגרפית זו של זהות נקראת attestation. בחירת שיטת ה-attestation הנכונה קובעת כיצד צינור הייצור שלכם, לוגיסטיקת שרשרת האספקה ומדיניות האבטחה בענן משתלבים לאורך מחזור החיים של החומרה, שנמשך שנים רבות.

אימות מודול הפלטפורמה המהימנה (TPM)

Trusted Platform Module הוא שבב קריפטוגרפי מיוחד המשולב באופן מאובטח בלוח האם. כאשר משתמשים ב-TPM attestation עבור Azure DPS, זהות המכשיר מעוגנת לצמיתות בשבב הפיזי הזה.

היתרון המרכזי של TPM הוא אבטחה מגובה חומרה. מכיוון שמפתח ההסמכה (endorsement key) ונתוני הרישום נשרפים בסיליקון במהלך הייצור, תוקפים לא יכולים פשוט לשכפל תמונת דיסק תוכנתית, להעביר אותה ללוח חדש ולצפות שהענן יעניק גישה. גם אם תמונת מערכת ההפעלה נפרצה, שורש האמון החומרתי נשאר מוגן.

עם זאת, TPM דורש תיאום קפדני של שרשרת האספקה. עליכם לחלץ את מפתחות ההסמכה מיצרן החומרה ולטעון אותם לתוך רישומי ה-enrollment הפרטניים שלכם ב-Azure DPS או לרשימות מפתחות ההסמכה. בסביבות תעשייתיות רגישות במיוחד, שבהן התערבות פיזית במכשירים היא איום ממשי, TPM מספק את רמת הביטחון החומרתי הגבוהה ביותר.

תעודות X.509 להרחבת שרשרת האספקה

אישורים דיגיטליים מסוג X.509 מסתמכים על הצפנה במפתח ציבורי ועל רשויות אישורים (CA) היררכיות. במודל אימות זה, מפעל הייצור שלכם או יצרן החוזה חותם על אישורי מכשירים באמצעות אישור CA ביניים שרשמתם מראש כקבוצת רישום ב-Azure DPS.

שיטה זו מתאימה במיוחד לשרשראות אספקה מורכבות, שבהן החומרה מיוצרת על ידי צדדים שלישיים ונשלחת לאזורים שונים לפני הפריסה הסופית. מכיוון ש-DPS מאמת את שרשרת האישורים עד ל-CA הבסיסי או ל-CA הביניים שלכם, כל מכשיר שיוצר עם אישור תקף מהשרשרת המהימנה שלכם מורשה אוטומטית להקצאה, בלי צורך ביצירת רשומה אישית לכל מכשיר בפורטל הענן.

אישורי X.509 מצטיינים גם בניהול מחזור החיים שלהם. כאשר אישור מתקרב לתאריך פקיעה, מדיניות רוטציה אוטומטית יכולה לחדש את זהות המכשיר ללא התערבות פיזית. זה הופך את X.509 לתקן הזהב לפריסות IoT ארגוניות גדולות ומבוזרות.

מפתחות סימטריים: פשטות מול סיכון

מפתחות סימטריים מסתמכים על סודות משותפים, למעשה סיסמה המשותפת למכשיר ול-Azure DPS. למרות שהשיטה פשוטה ליישום ונפוצה לאב-טיפוס מהיר במעבדה, היא כרוכה בסיכונים תפעוליים ואבטחתיים משמעותיים בהיקף ייצור.

אם מפתח סימטרי מוטמע בתמונת מכשיר סטנדרטית, או אם טכנאי חושף בטעות את הסוד במהלך ההפעלה הראשונית או בדיבוג מקומי, כל מכשיר שחולק את המפתח או את קבוצת הרישום הזו נפרץ מיד. חילוץ מפתח סימטרי ממארז פיזי אחד מעניק לתוקף גישה בלתי מורשית לכל משאבי הענן המשויכים למפתח הזה.

אם אתם חייבים להשתמש במפתחות סימטריים עבור חומרה מוגבלת שאינה כוללת רכיבי אבטחה, יש להגביל אותם לרישומים אישיים עם מדיניות החלפת סודות קפדנית, ולא לקבוצות רישום רחבות.

בחירת האסטרטגיה הנכונה לארכיטקטורה שלכם

ההחלטה בין TPM, X.509 ומפתחות סימטריים דורשת איזון בין דרישות אבטחה לבין עומס תפעולי:

בחרו ב-TPM כאשר אבטחת החומרה הפיזית היא בעלת עדיפות עליונה, ויש לכם שרשרת אספקה מבוקרת שמסוגלת לייצא מפתחות אישור (endorsement keys).
בחרו ב-X.509 כאשר אתם מנהלים צי גדול של מכשירים מיצרנים שונים, דורשים רוטציה אוטומטית של אישורים, ומנצלים קבוצות רישום להטמעה ללא מגע.
בחרו במפתחות סימטריים בעיקר לפיתוח, לבדיקות, או לסביבות מעבדה מבוקרות מאוד שבהן אין שבבי הצפנה או תשתית PKI זמינים.

הפרדה בין זהות הייצור שלכם לזהות התפעולית שלכם מבטיחה ששכבת האמון הבסיסית שלכם תישאר ניידת, עמידה וברת ביקורת ככל שארכיטקטורת הענן שלכם מתרחבת.

סיכום

תכנון צינור הקצאה מאובטח עבור 100,000 מכשירי IoT דורש הערכה זהירה של אימות קריפטוגרפי. בין אם תבחרו ברמת הביטחון שמספקת שבב הסיליקון של TPM ובין אם בשרשרת האמון המדרגית שמספקים אישורי X.509, יישור מודל הזהות שלכם עם Azure DPS מונע צווארי בקבוק תפעוליים ומגן על תשתית הענן שלכם מהיסוד.

כדי להעמיק בארכיטקטורת IoT, בהפרדת זהויות מכשירים ובטיפול בשגיאות בהפעלה הראשונה, האזינו לפרק המלא והירשמו ל-M365 FM Podcast לתובנות מעמיקות על תשתית ענן ועל המערכת האקולוגית של Microsoft.

שאלות נפוצות

מהי אימות מכשיר ב-Azure DPS?

אימות הוא התהליך הקריפטוגרפי המאובטח שבו מכשיר מוכיח את זהותו בפני Azure Device Provisioning Service בהפעלה הראשונה, ומאפשר ל-DPS לאמת הרשאה לפני שיוצמד למרכז IoT Hub.

האם אפשר להשתמש באישורי X.509 עם קבוצות רישום?

כן. אישורי X.509 מתאימים במיוחד לקבוצות רישום, ומאפשרים לקבוצות שלמות של מכשירים החתומים על ידי CA ביניים או CA בסיסי מהימן להתקין את עצמם אוטומטית, בלי ניהול רשומות אישיות.

מדוע מפתחות סימטריים נחשבים לסיכון אבטחה בצי גדול?

מפתחות סימטריים מסתמכים על סודות משותפים. אם תוקף מחלץ את הסוד ממכשיר פיזי אחד, הוא מקבל גישה בלתי מורשית לכל משאב ענן או לכל קבוצת מכשירים שחולקים את אותו סוד.

כיצד TPM מונע שכפול של מכשירים?

TPM קושר את הזהות הקריפטוגרפית של המכשיר ישירות לשבב אבטחה פיזי המולחם ללוח האם, וכך מבטיח שתמונות דיסק תוכנתיות משוכפלות לא יוכלו להתאמת מול הענן.