Como se preparar para a rotação de uma chave raiz da Atualização de Dispositivo para Hub IoT

Saiba mais sobre a rotação de chaves raiz da Atualização de Dispositivo para Hub IoT e o que você pode precisar fazer para se preparar.

Entenda a segurança da Atualização de Dispositivo para Hub IoT e como as chaves raiz são usadas

Antes de aprender sobre o processo de rotação de chaves raiz do Device Update, saiba mais sobre chaves raiz na página modelo de segurança do Device Update.

Alteração do agendamento de rotação de chave raiz

Em 26 de agosto de 2025, o serviço Atualização de Dispositivo para Hub IoT girará a ADU.200702.R, a chave raiz atualmente usada para validar chaves de assinatura associadas a manifestos de atualização. A rotação dessa chave faria com que o serviço de Atualização de Dispositivo parasse de assinar conteúdo importado com uma chave que se conecta ao ADU.200702.R. Em seguida, o serviço teria começado a assinar usando uma chave que se conecta ao ADU.200703.R.

Com base nos comentários de nossos clientes sobre o impacto dessa alteração, a equipe de Atualização de Dispositivo para Hub IoT está adiando a rotação de agosto de 2025. Isso dará aos clientes mais tempo para estarem prontos para a rotação. Depois que uma nova data estiver disponível para esse evento de rotação, ela será anunciada com pelo menos um ano de antecedência.

Como validar se seus dispositivos estão prontos para uma rotação ou revogação futura

Se você não testou a chave raiz ADU.200703.R que será usada após a rotação eventual, é recomendável fazer isso assim que possível. No caso improvável de um ator mal-intencionado poder explorar a chave raiz atual do ADU.200702.R antes de uma rotação agendada, a equipe de Atualização de Dispositivo revogaria imediatamente a chave raiz ADU.200702.R e começaria a assinar com a chave raiz ADU.200703.R. Confirmar por meio de testes que seus dispositivos atualmente dão suporte à chave raiz ADU.200703.R significa que o impacto desse cenário é minimizado.

A equipe de Atualização de Dispositivo criou um mecanismo de teste para validar se seus dispositivos podem receber conteúdo assinado com o ADU.200703.R. Instruções:

1. Baixar um arquivo de teste especial. Esse arquivo exato deve ser usado, pois o serviço de Atualização de Dispositivo procura o hash do arquivo no momento da importação. O hash de arquivo correspondente no manifesto de importação deve ser: KGyJ9tM6JSLHQq0gdKUmsVvB6Y4z0pMKdQNAd8jTGH0=

2. Crie uma atualização para o teste. Você pode usar todos os arquivos que desejar, mas também deve incluir o arquivo de teste especial no manifesto de importação. Uma prática recomendada é que sua atualização altere o dispositivo de uma maneira fácil de verificar, como alterar o número de versão de um arquivo ou adicionar um novo arquivo.

3. Importe e implante a atualização nos seus dispositivos como você faria normalmente.

4. Verifique se a atualização foi bem-sucedida nos seus dispositivos. Se tiver feito isso, seus dispositivos poderão receber atualizações assinadas com a ADU.200703.R e estar prontos para a próxima rotação (ou possível revogação).

Mais informações

Modelo de segurança de Atualização de Dispositivo