TPM vs X.509 vs symmetrische sleutels: de juiste attestatiemethode kiezen voor Azure DPS

By Mirko Peters · 2026-10-19

Vergelijk TPM, X.509 en symmetrische sleutels voor Azure DPS. Ontdek hoe je de juiste attestatiemethode kiest om meer dan 100.000 IoT-apparaten veilig te provisioneren.

Automatically translated with AI from the original post. Read the English original

De juiste apparaatattestatiemethode kiezen in Azure Device Provisioning Service (DPS) bepaalt of je IoT-vloot van 100.000 apparaten op schaal veilig blijft of kwetsbaar wordt voor compromittering van de toeleveringsketen. Deze gids vergelijkt Trusted Platform Modules (TPM), X.509-certificaten en symmetrische sleutels, en helpt cloudarchitecten de ideale cryptografische bewijsvorm te kiezen voor hun productie- en operationele model.

Belangrijkste punten

• Attestatie is het cryptografische mechanisme waarmee apparaten hun identiteit aantonen aan Azure DPS tijdens de registratie bij de eerste opstart.
• TPM-attestatie koppelt de identiteit rechtstreeks aan een hardwarechip, waardoor gekloonde schijfkopieën geen cloudtoegang kunnen overnemen.
• X.509-certificaten bieden ongeëvenaarde schaalbaarheid voor toeleveringsketens met meerdere lagen en langlopende zakelijke vloten.
• Symmetrische sleutels vereenvoudigen labtests en vroege prototypes, maar brengen grote risico's met zich mee als gedeelde geheimen worden buitgemaakt.
• Met registratiegroepen kunnen beheerders consistent beveiligingsbeleid toepassen op volledige apparaatfamilies, in plaats van records handmatig te beheren.

Attestatie begrijpen bij fleet provisioning

Bij het uitrollen van een grote vloot industriële gateways, edge-sensoren of slimme apparaten is het vaststellen van een veilige vertrouwensgrens de belangrijkste architectonische uitdaging. Tien apparaten op een testbank kun je handmatig configureren met vastgecodeerde geheimen of eenvoudige wachtwoorden. Doe je dat met honderdduizend units verspreid over wereldwijde fabrieken, dan wordt elke administratieve snelkoppeling een beveiligingslek.

Azure DPS fungeert als een veilige receptie voor je cloudomgeving. Voordat een apparaat wordt toegewezen aan een IoT Hub voor dagelijks telemetrieverkeer en opdrachten, moet het zijn identiteit bewijzen. Dat cryptografische identiteitsbewijs heet attestatie. De keuze van de juiste attestatiemethode bepaalt hoe je productieproces, logistiek van de toeleveringsketen en cloudbeveiligingsbeleid samenwerken gedurende de levenscyclus van je hardware, die meerdere jaren kan duren.

Trusted Platform Module (TPM)-attestatie

Een Trusted Platform Module is een gespecialiseerde cryptografische chip die veilig in het moederbord van het apparaat is ingebouwd. Bij TPM-attestatie voor Azure DPS wordt de identiteit van het apparaat permanent aan deze fysieke chip gekoppeld.

Het belangrijkste voordeel van TPM is de hardwarematige beveiliging. Omdat de endorsement key en registratiegegevens tijdens de productie in het silicium worden geschreven, kunnen aanvallers niet zomaar een software-schijfkopie op een nieuw bord zetten en verwachten dat de cloud toegang verleent. Zelfs als een besturingssysteemkopie is gecompromitteerd, blijft de hardware-vertrouwensbasis beschermd.

TPM vereist echter zorgvuldige coördinatie in de toeleveringsketen. Je moet endorsement keys van de hardwarefabrikant opvragen en laden in je Azure DPS-afzonderlijke registraties of endorsement-keylijsten. Voor zeer gevoelige industriële omgevingen waar fysieke manipulatie een reële dreiging is, biedt TPM het hoogste niveau van hardwarezekerheid.

X.509-certificaten voor schaalbaarheid in de toeleveringsketen

X.509-certificaten zijn gebaseerd op publieke-sleutelcryptografie en hiërarchische certificeringsinstanties (CA's). In dit attestatiemodel ondertekent je productiefabriek of contractfabrikant apparaatcertificaten met behulp van een tussenliggend CA-certificaat dat je vooraf als inschrijvingsgroep in Azure DPS hebt geregistreerd.

Deze methode komt vooral goed tot zijn recht in complexe toeleveringsketens, waarbij hardware door derden wordt geproduceerd en over meerdere regio's wordt verzonden voordat ze uiteindelijk wordt ingezet. Omdat DPS de certificaatketen valideert tot aan je root- of tussenliggende CA, is elk apparaat dat met een geldig certificaat uit je vertrouwde keten is geproduceerd, automatisch gemachtigd om te worden geprovisioned, zonder dat je er een afzonderlijk record voor hoeft aan te maken in de cloudportal.

X.509-certificaten blinken ook uit in levenscyclusbeheer. Wanneer een certificaat bijna verloopt, kunnen geautomatiseerde rotatiebeleidsregels de apparaatidentiteit vernieuwen zonder fysieke tussenkomst. Daarmee is X.509 de gouden standaard voor grote, gedistribueerde IoT-implementaties in ondernemingen.

Symmetrische sleutels: eenvoud versus risico

Symmetrische sleutels zijn gebaseerd op gedeelde geheimen: in feite een wachtwoord dat wordt gedeeld tussen het apparaat en Azure DPS. Hoewel deze methode eenvoudig te implementeren is en populair is voor snelle prototypes in een lab, brengt ze op productieschaal aanzienlijke operationele en beveiligingsrisico's met zich mee.

Als een symmetrische sleutel in een standaard apparaatimage is ingebakken, of als een technicus het geheim per ongeluk blootstelt tijdens de inbedrijfstelling of lokaal debuggen, dan is elk apparaat dat die sleutel of inschrijvingsgroep deelt meteen gecompromitteerd. Als een aanvaller één symmetrische sleutel uit één fysieke behuizing haalt, krijgt hij ongeautoriseerde toegang tot de volledige cloudomgeving die bij die sleutel hoort.

Als je symmetrische sleutels moet gebruiken voor beperkte hardware zonder beveiligde elementen, beperk ze dan tot afzonderlijke inschrijvingen met strikte rotatiebeleidsregels voor geheimen, in plaats van brede inschrijvingsgroepen.

De juiste strategie kiezen voor je architectuur

Bij de keuze tussen TPM, X.509 en symmetrische sleutels moet je de beveiligingsvereisten afwegen tegen de operationele belasting:

• Kies TPM wanneer fysieke hardwarebeveiliging het belangrijkst is en je over een gecontroleerde toeleveringsketen beschikt die endorsement keys kan exporteren.
• Kies X.509 wanneer je grote vloten beheert van meerdere fabrikanten, geautomatiseerde certificaatrotatie nodig hebt en inschrijvingsgroepen wilt gebruiken voor onboarding zonder handmatige tussenkomst.
• Kies symmetrische sleutels vooral voor ontwikkeling, testen of strikt gecontroleerde labomgevingen waarin cryptografische chips of PKI-infrastructuur niet beschikbaar zijn.

Door je fabricageidentiteit te scheiden van je operationele identiteit blijft je fundamentele vertrouwensmodel overdraagbaar, veerkrachtig en klaar voor audits, ook wanneer je cloudarchitectuur groeit.

Conclusie

Het ontwerpen van een veilige provisioningpijplijn voor 100.000 IoT-apparaten vraagt om een zorgvuldige afweging van cryptografische attestatie. Of je nu kiest voor de beveiliging op chipniveau van TPM of voor de schaalbare vertrouwensketen van X.509-certificaten: als je je identiteitsmodel afstemt op Azure DPS, voorkom je operationele knelpunten en beveilig je je cloudinfrastructuur vanaf de basis.

Wil je dieper ingaan op IoT-architectuur, scheiding van apparaatidentiteiten en de afhandeling van fouten bij de eerste opstart? Luister naar de volledige aflevering en abonneer je op de M365 FM Podcast voor deskundige inzichten over cloudinfrastructuur en het Microsoft-ecosysteem.

Veelgestelde vragen

Wat is apparaatattestatie in Azure DPS?

Attestatie is het veilige cryptografische proces waarmee een apparaat tijdens de eerste opstart zijn identiteit bewijst aan Azure Device Provisioning Service. Zo kan DPS de autorisatie controleren voordat het apparaat aan een IoT Hub wordt toegewezen.

Kan ik X.509-certificaten gebruiken met inschrijvingsgroepen?

Ja. X.509-certificaten zijn ideaal voor inschrijvingsgroepen. Hiermee kunnen hele groepen apparaten die zijn ondertekend door een vertrouwd tussenliggend of root-CA automatisch worden geprovisioned, zonder dat je individuele records hoeft te beheren.

Waarom worden symmetrische sleutels als beveiligingsrisico beschouwd voor grote vloten?

Symmetrische sleutels zijn gebaseerd op gedeelde geheimen. Als een aanvaller het geheim uit één fysiek apparaat haalt, krijgt hij ongeautoriseerde toegang tot alle cloudresources of apparaatgroepen die datzelfde geheim delen.

Hoe voorkomt TPM het klonen van apparaten?

TPM koppelt de cryptografische identiteit van het apparaat rechtstreeks aan een fysieke beveiligingschip die op het moederbord is gesoldeerd. Hierdoor kunnen gekloonde softwareschijfimages zich niet bij de cloud authenticeren.