Suporte ao Transport Layer Security (TLS) no Hub IoT

O Hub IoT usa TLS (Transport Layer Security) para proteger conexões de dispositivos e serviços IoT.

Suporte TLS mútuo

A autenticação TLS mútua garante que o cliente autentique o certificado do servidor (Hub IoT) e o servidor (Hub IoT) autentique o cliente usando o certificado de cliente X.509 ou a impressão digital X.509. O Hub IoT executa a autorização após a conclusão da autenticação .

Para os protocolos AMQP (Advanced Message Queuing Protocol) e MQTT (Message Queuing Telemetry Transport), o Hub IoT solicita um certificado de cliente no handshake TLS inicial. Se for fornecido, o Hub IoT autentica o certificado do cliente e o cliente autentica o certificado do Hub IoT. Esse processo é chamado de autenticação TLS mútua. Quando o Hub IoT recebe um pacote de conexão MQTT ou um link AMQP é aberto, o Hub IoT executa a autorização para o cliente solicitante e determina se o cliente requer autenticação X.509. Se a autenticação TLS mútua foi concluída e o cliente estiver autorizado a ligar-se como dispositivo, é permitido. No entanto, se o cliente exigir autenticação X.509 e a autenticação do cliente não tiver sido concluída durante o handshake TLS, o Hub IoT rejeitará a conexão.

Para o protocolo HTTP, quando o cliente faz sua primeira solicitação, o Hub IoT verifica se o cliente requer autenticação X.509 e se a autenticação do cliente foi concluída, o Hub IoT executa a autorização. Se a autenticação do cliente não estiver concluída, então o Hub IoT rejeita a ligação.

Após um handshake TLS bem-sucedido, o Hub IoT pode autenticar um dispositivo usando uma chave simétrica ou um certificado X.509. Para autenticação baseada em certificado, o Hub IoT valida o certificado em relação à impressão digital ou à autoridade de certificação (CA) fornecida. Para saber mais, consulte Autenticar identidades com certificados X.509.

Certificado TLS do servidor do Hub IoT

Durante um handshake TLS, o Hub IoT apresenta certificados de servidor com chave RSA para conectar clientes. Todos os hubs IoT na nuvem global do Azure usam o certificado TLS emitido pelo DigiCert Global Root G2.

Confie nas seguintes duas CAs raiz para todos os dispositivos:

• Autoridade de Certificação Raiz DigiCert Global G2
• Raiz do Microsoft RSA CA 2017

Para obter links para baixar esses certificados, consulte Detalhes da Autoridade de Certificação do Azure.

As migrações de autoridade de certificação raiz são raras. Prepare sempre a sua solução IoT para o improvável caso de uma CA raiz ser comprometida e de ser necessária uma migração emergencial da CA raiz.

Pacotes de cifragem

A partir de 31 de agosto de 2025, o Hub IoT impõe o uso de pacotes de codificação fortes recomendados para todos os Hubs IoT novos e existentes. Conjuntos de cifras não recomendados (fracos) já não são suportados após esta data.

Para estar em conformidade com a política de segurança do Azure para uma conexão segura, o Hub IoT suporta apenas os seguintes pacotes de codificação RSA e ECDSA:

• TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

Os seguintes pacotes de codificação não recomendados são permitidos em hubs sem minTlsVersion:1.2 até 31 de agosto de 2025:

• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_GCM_SHA384
• TLS_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_128_CBC_SHA
• TLS_RSA_WITH_AES_256_CBC_SHA

Um cliente pode sugerir uma lista de conjuntos de cifras mais elevados para usar durante ClientHello. No entanto, o Hub IoT pode não suportar alguns deles, por exemplo, ECDHE-ECDSA-AES256-GCM-SHA384. Neste caso, o Hub IoT tenta seguir a preferência do cliente, mas acaba por negociar, por fim, uma suite de cifras inferior com ServerHello.

Atualizar o Hub IoT para o suporte a TLS 1.2

Depois de criar um Hub IoT, atualize a propriedade minTlsVersion usando o portal Azure, CLI ou SDKs. Para atualizar o Hub IoT para aplicar o TLS 1.2 e conjuntos de cifras fortes (permitidos apenas em regiões selecionadas) ou para definir suporte a TLS 1.2 (suportado em todas as regiões), siga estes passos.

Para atualizar o Hub IoT para dar suporte ao TLS 1.2 e/ou impor pacotes de codificação fortes no portal do Azure:

1. Navegue até o Hub IoT existente no portal do Azure.

2. No separador Visão Geral no menu à esquerda, selecione o link Versão Mínima TLS na secção Essenciais.

   

3. Na janela lateral Versão Mínima TLS , selecione 1.2 para garantir que apenas dispositivos que suportem TLS 1.2 ou superior podem ligar-se.

4. Selecione Atualizar.

   

Force o Hub IoT a usar TLS 1.2 e suites de cifragem fortes

Para garantir que os seus dispositivos IoT estão em conformidade com o TLS 1.2 e com conjuntos de cifras robustos, imponha essa conformidade utilizando a funcionalidade de imposição da versão mínima do TLS no Hub IoT do Azure.

Para permitir a aplicação do TLS 1.2 e dos conjuntos de cifras fortes no portal Azure:

1. Vá para o assistente de configuração do Hub IoT no portal do Azure.

2. Escolha uma região na lista de regiões suportadas.

3. Em Gerenciamento -> Avançado -> Transport Layer Security (TLS) -> Versão mínima do TLS, selecione 1.2. Esta configuração só aparece para hubs IoT criados em regiões suportadas.

   

4. Selecione Criar.

5. Conecte seus dispositivos IoT a este Hub IoT.

Para usar um modelo ARM para criação, prevê uma nova Hub IoT em qualquer uma das regiões suportadas e define a propriedade minTlsVersion para 1.2 na especificação de recurso:

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.Devices/IotHubs",
            "apiVersion": "2020-01-01",
            "name": "<provide-a-valid-resource-name>",
            "location": "<any-of-supported-regions-below>",
            "properties": {
                "minTlsVersion": "1.2"
            },
            "sku": {
                "name": "<your-hubs-SKU-name>",
                "tier": "<your-hubs-SKU-tier>",
                "capacity": 1
            }
        }
    ]
}

O recurso do hub IoT criado recusa clientes de dispositivos e serviços que tentem ligar-se usando as versões 1.0 e 1.1 do TLS. Da mesma forma, o handshake TLS será recusado se a ClientHello mensagem não listar nenhuma das cifras recomendadas.

Verifique versões TLS e suites de cifras para dispositivos Hub IoT

O Hub IoT do Azure fornece a capacidade de verificar a versão TLS, pacotes de codificação e outras métricas de conexão de dispositivo para ajudar a monitorar a segurança de dispositivos IoT. Pode usar métricas de Hub IoT ou registos de diagnóstico para acompanhar a utilização da versão TLS e outras propriedades relacionadas como Cipher Suites.

Verifique versões TLS e suites de cifras usando métricas do Hub IoT

Para validar que o tráfego de dispositivos para o Hub IoT utiliza TLSv1.2 e suites de cifras fortes, verifique as métricas do Hub IoT. Podes filtrar por versão TLS ou suite de cifras e verificar o número de ligações bem-sucedidas.

1. No portal do Azure, vá para o seu hub IoT.

2. No menu do lado esquerdo, em Monitoramento, selecione Métricas.

3. Adicione a métrica Successful Connects.

   

4. Filtre por versão TLS ou conjunto de cifras selecionando o botão Adicionar filtro e escolhendo a propriedade apropriada, versão TLS ou conjunto de cifras, operador, como "=", e valor, como TLSv1.2.

   

5. Depois de aplicar o filtro, vê a soma de dispositivos com ligações Hub IoT bem-sucedidas com base na propriedade e valores filtrados.

Verifique versões TLS e suites de cifras usando os registos de diagnóstico do Hub IoT

O Hub IoT do Azure pode fornecer logs de diagnóstico para várias categorias que pode analisar usando o Azure Monitor Logs. No registo de ligações, podes encontrar a versão TLS e a suite de cifras para os teus dispositivos Hub IoT.

Para visualizar estes registos, siga estes passos:

1. No portal do Azure, vá para o seu hub IoT.

2. No menu do lado esquerdo, em Monitoramento, selecione Configurações de diagnóstico. Garante que as definições de diagnóstico têm as Ligações ativadas.

3. No menu do lado esquerdo, em Monitoramento, selecione Logs.

4. Introduza a seguinte consulta:

   AzureDiagnostics
   | where ResourceProvider == "MICROSOFT.DEVICES" and ResourceType == "IOTHUBS"
   | where Category == "Connections"
   | where OperationName == "deviceConnect"
   | extend props_json = parse_json(properties_s)
   | project DeviceId = props_json.deviceId, TLSVersion = props_json.tlsVersion
   

5. Um exemplo dos resultados da consulta tem esta aparência:

   

Configuração TLS para SDK e IoT Edge

Use os links a seguir para configurar o TLS 1.2 e as cifras permitidas em SDKs de cliente do Hub IoT.

Os dispositivos IoT Edge podem ser configurados para usar TLS 1.2 ao se comunicar com o Hub IoT. Para isso, use a página de documentação do IoT Edge.

Certificado TLS do servidor ECC (Elliptic Curve Cryptography)

Embora ofereça segurança semelhante aos certificados RSA, a validação de certificados ECC (com pacotes de codificação somente ECC) usa até 40% menos computação, memória e largura de banda. Essas economias são importantes para dispositivos IoT por causa de seus perfis e memória menores, e para suportar casos de uso em ambientes de largura de banda de rede limitados.

Para usar o certificado de servidor ECC do Hub IoT:

1. Certifique-se de que todos os dispositivos confiam nas seguintes autoridades de certificação raiz:
   • Autoridade de Certificação Raiz DigiCert Global G2
   • Raiz do Microsoft RSA CA 2017
2. Configure o seu cliente para incluir apenas suítes de cifra ECDSA e exclua quaisquer suítes RSA. Estes são os pacotes de codificação suportados para o certificado ECC:
   • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
   • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
   • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
3. Conecte seu cliente ao hub IoT.

Negociação de comprimento máximo de fragmento TLS

O Hub IoT também oferece suporte à negociação do comprimento máximo dos fragmentos TLS, que às vezes também é chamada negociação do tamanho dos quadros TLS. Esta funcionalidade está em pré-visualização pública.

Use esse recurso para especificar o comprimento máximo do fragmento de texto sem formatação para um valor menor do que os 2^14 bytes padrão. Uma vez negociado, o Hub IoT e o cliente começam a fragmentar as mensagens para garantir que todos os fragmentos sejam menores do que o comprimento negociado. Esse comportamento é útil para dispositivos com restrição de memória ou computação. Para saber mais, consulte as especificações oficiais da extensão TLS.

O suporte oficial do SDK para este recurso de visualização pública ainda não está disponível. Para começar

1. Criar um Hub IoT.
2. Ao usar OpenSSL, chame SSL_CTX_set_tlsext_max_fragment_length para especificar o tamanho do fragmento.
3. Conecte seu cliente ao Hub IoT.

Fixação do certificado

Pinagem de certificados e filtragem dos certificados do servidor TLS e dos certificados intermediários associados aos pontos de extremidade do Hub IoT é fortemente desencorajada, pois a Microsoft frequentemente atualiza esses certificados com pouco ou nenhum aviso. Se necessário, fixe apenas os certificados raiz conforme descrito nesta postagem do blog do Azure IoT.

Suporte TLS 1.3 (pré-visualização)

O Hub IoT do Azure suporta TLS 1.3 através de novos endpoints de dispositivos e serviços disponíveis juntamente com o endpoint clássico existente. Estes endpoints são provisionados automaticamente em todos os hubs IoT e podem ser adotados ao seu próprio ritmo.

Endpoints

O endpoint clássico mantém-se totalmente suportado e continua a ser o padrão para cargas de trabalho existentes.

Requirements

Os novos endpoints têm requisitos mais rigorosos do que o endpoint clássico:

• O SNI é obrigatório. Os clientes devem enviar a extensão Server Name Indication (SNI) no handshake TLS.
• Conjuntos de cifras restritos. Apenas são suportados conjuntos de cifras compatíveis com a segurança. Dispositivos que dependem de conjuntos de cifras que não estão neste conjunto falham em ligar-se. Para a lista de conjuntos de cifras suportados, veja Suites de cifras.
• Os dispositivos que utilizam TLS 1.2 podem ligar-se aos novos endpoints se suportarem os conjuntos de cifra necessários.

Utilizar os novos pontos finais

Para recuperar as cadeias de ligação dos novos endpoints, use o --hostname-type parâmetro:

# Device connection string using the TLS 1.3-capable device endpoint
az iot hub device-identity connection-string show \
  --hub-name <hub-name> \
  --resource-group <resource-group> \
  --device-id <device-id> \
  --hostname-type device

# Hub connection string using the service endpoint
az iot hub connection-string show \
  --hub-name <hub-name> \
  --resource-group <resource-group> \
  --hostname-type service

Para verificar os endpoints disponíveis no seu hub:

az iot hub show --name <hub-name> --resource-group <resource-group> \
  --query "{classic:properties.hostName, device:properties.deviceHostName}" \
  --output json

Migrar para os endpoints TLS 1.3

A adoção dos novos endpoints é opcional e controlada pelo cliente. Para migrar:

1. Verifique se os seus dispositivos e clientes suportam SNI e os conjuntos de cifra necessários.
2. Teste a conectividade usando o endpoint do dispositivo num ambiente de staging.
3. Atualize as cadeias de ligação do seu dispositivo para usar <hub>.device.azure-devices.net.
4. Para serviços de backend, atualize as cadeias de ligação para usar <hub>.service.azure-devices.net.

Para reverter, atualize as strings de ligação para usar o nome original <hub>.azure-devices.net do host.

Se o seu hub IoT for alcançado através de um endpoint privado (Azure Private Link), os novos nomes de host de dispositivos e serviços também devem ser resolvidos para um endereço IP privado na sua rede virtual. Na maioria dos casos, isto acontece automaticamente, mas a alocação estática de IP ou uma sub-rede completa podem exigir ação manual. Veja Atualizar endpoints privados para ativar o TLS 1.3.

Para informações sobre a utilização dos novos endpoints com o Device Provisioning Service (DPS), consulte Gerenciar hubs IoT ligados no DPS.

Próximos passos

• Para saber mais sobre segurança e controle de acesso do Hub IoT, consulte Controlar o acesso ao Hub IoT.
• Para saber mais sobre o uso do certificado X509 para autenticação de dispositivos, consulte Autenticação de Dispositivo usando Certificados CA X.509.