Ένα HSM (Hardware Security Module, στα γαλλικά hardware security module) είναι μια απαραβίαστη ηλεκτρονική συσκευή που παράγει, αποθηκεύει και χρησιμοποιεί κρυπτογραφικά κλειδιά χωρίς ποτέ να τα εκθέτει καθαρά έξω από το κουτί.
Ένα HSM είναι ένα υλικό δοχείο (rack 1U, κάρτα PCIe, USB ή συσκευή δικτύου) που εκτελεί κρυπτογραφικές λειτουργίες (γεννήσεων κλειδιών, υπογραφής, κρυπτογράφησης, αποκρυπτογράφησης, χάσινγκ) μέσα σε ένα σφραγισμένο φυσικό ενκλάβο.
Η υπογραφή του εγγράφου που υπογράφεται περιέχει την υπογραφή και το αντίστοιχο δημόσιο πιστοποιητικό αλλά το ιδιωτικό κλειδί παραμένει αδιαβρώστερα προστατευμένο. Αυτό διακρίνει μια ειδική υπογραφή eIDAS (QES, υποστηριζόμενη από HSM από τον πάροχο) από μια απλή υπογραφή (SES, χωρίς υλικούς περιορισμούς) ή προηγμένη υπογραφή (AES, κλειδί που ελέγχεται από τον υπογράφοντα).
Το HSM δεν είναι μια ευκολία για το κοινό: απαιτείται από τη στιγμή που ένας κανονισμός, ένα πρότυπο ή μια σύμβαση απαιτεί μια υλική εγγύηση αδιαβράδαντων κλειδιών.
Ο ευρωπαϊκός κανονισμός eIDAS (ΕΕ 910/2014) απαιτεί να παράγεται μια ειδική υπογραφή από μια συσκευή δημιουργίας ειδικών υπογραφών (QSCD) που είναι πιστοποιημένη στην πράξη, από HSM πιστοποιημένο EN 419 221-5 ή Common Criteria EAL4+. Το HSM του ειδικού πάροχου εμπιστοσύνης (QTSP) είναι αυτό που στεγάζει το ιδιωτικό κλειδί του υπογράφοντα και εκτελεί την υπογραφή.
Τα HSM διαχειρίζονται τα βασικά κλειδιά κρυπτογράφησης (Key Encryption Keys, KEK) που κρυπτογραφούν τα κλειδιά κρυπτογράφησης των βάσεων δεδομένων, των δίσκων (BitLocker, LUKS) ή των ασφαλίστρων.
Κάθε ρίζα, μεσολάβηση ή εκδίδουσα αρχή πιστοποίησης (CA) χρησιμοποιεί ένα HSM για να παράγει και να χρησιμοποιεί το κλειδί που υπογράφει τα πιστοποιητικά X.509. Το κλειδί ρίζας μιας δημόσιας (Let's Encrypt, DigiCert, Sectigo) ή ιδιωτικής εταιρικής (Active Directory CS, ADFS) CA πρέπει να κατοικεί σε πιστοποιημένο HSM.
Οι πλατφόρμες cloud (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM) παρουσιάζουν HSM που είναι μοιρασμένα ή αφιερωμένα για τη διαχείριση του πλήρους κύκλου ζωής των κλειδιών: δημιουργία, περιστροφή, παράδοση, αρχειοθέτηση, καταστροφή.
Τα πιστοποιητικά TLS των κρίσιμων υποδομών (τραπεζικές πύλες, υπογραφή κώδικα λογισμικού, root CA των κατασκευαστών IoT) προστατεύονται από το HSM. Το HSM υπογράφει τα εξερχόμενα πιστοποιητικά χωρίς ποτέ να εκθέτει το root key ακόμη και σε περίπτωση πλήρους παραβίασης του διακομιστή υποδοχής.
Το επίπεδο πιστοποίησης καθορίζει τους κανονισμούς στους οποίους η χρήση του HSM μπορεί να δικαιούται (eIDAS QSCD, PCI-DSS HSM, αμυντικές συμβάσεις).
Το FIPS 140-2 (εκδόθηκε το 2001, αποσύρθηκε από τον ενεργό κατάλογο το 2026) και ο διάδοχός του FIPS 140-3 (ενεργό από το 2019, υποχρεωτικό για νέα προϊόντα από το 2024) ορίζουν 4 επίπεδα ασφαλείας.
Το Common Criteria είναι το διεθνές πρότυπο αξιολόγησης της ασφάλειας των προϊόντων πληροφορικής. Για τα HSM, το επίπεδο Common Criteria EAL4+ με το Προφίλ Προστασίας EN 419 221-5 απαιτείται από τον κανονισμό eIDAS για τις συσκευές δημιουργίας ειδικών υπογραφών (QSCD).
Τα πρότυπα ETSI καθορίζουν τις τεχνικές απαιτήσεις που πρέπει να τηρούν οι ειδικευμένοι πάροχοι υπηρεσιών εμπιστοσύνης (QTSP) κατά την έννοια του eIDAS , συμπεριλαμβανομένης της χρήσης HSM πιστοποιημένων EN 419 221-5.
Το ANSSI εκδίδει ένα Γενικό Πλαίσιο Πιστοποίησης Ασφάλειας (GRS) και εκδίδει Πρότυπο και Ενισχυμένο πιστοποιητικά για τα κρυπτογραφικά προϊόντα.
Η σωστή επιλογή εξαρτάται από την αξία των κλειδιών που πρέπει να προστατευθούν, τους ρυθμιστικούς περιορισμούς και τον προϋπολογισμό.
| Διάσταση | HSM | ΔΕΠ | Εφαρμογές λογισμικού KMS |
|---|---|---|---|
| Σκοπός | Προστασία των κρυπτογραφικών κλειδιών επιχειρήσεων και υποδομών (QES, PKI, KMS). | Σφραγίστε την εκκίνηση και αναγνωρίστε το μηχάνημα (BitLocker, πιστοποίηση TPM 2.0). | Κεντρική λειτουργία του κύκλου ζωής των κλειδιών σε μνήμη/διάδρομο χωρίς υλική απομόνωση. |
| Κρυπτογραφική ροή | Πολλές χιλιάδες υπογραφές RSA-2048 ανά δευτερόλεπτο (υψηλότερες τεχνολογίες: 25 000+ sig/s). | Μερικές υπογραφές ανά δευτερόλεπτο προσανατολισμένες σε τοπικές χρήσεις. | Περιορίζεται από τον ξενιστή CPU (συχνά < 1000 sig/s για RSA-2048). |
| Ειδικές απαιτήσεις | Το σύστημα αυτό δεν μπορεί να χρησιμοποιηθεί για την παραγωγή προϊόντων που δεν είναι συμβατά με την παρούσα οδηγία. | Η κοινή κριτήρια EAL4+ για το TPM 2.0 (Microsoft Pluto, Google Titan). | Χωρίς υλικό πιστοποιητικό. ISO 27001 του προμηθευτή, το καλύτερο. |
| Υλική μορφή | Κεφάλαιο 1U-2U, κάρτα PCIe, σκληροποιημένη μονάδα USB ή ειδική συσκευή δικτύωσης. | Τσιπ που είναι ζυγισμένο στην μητρική πλακέτα (TPM 2.0) ή εικονικοποιημένο (vTPM). | Δωρεάν (HashiCorp Vault, OpenStack Barbican) ή SaaS (AWS KMS χωρίς CloudHSM). |
| Τυπική περίπτωση χρήσης | Ειδική υπογραφή eIDAS, PKI root, συμμόρφωση PCI-DSS, άμυνας. | Ασφαλής εκκίνηση, κρυπτογράφηση τοπικού δίσκου, πιστοποίηση Windows Hello. | Εφαρμοστική κρυπτογράφηση, μυστικά DevOps, εσωτερικά μη κρίσιμα πιστοποιητικά. |
| Συνολικό κόστος ιδιοκτησίας | € 8 000 έως € 80 000 ανά συσκευή + συντήρηση + έλεγχος. | Το κόστος περιθωρίου (δηλαδή στο 99% των επαγγελματικών υπολογιστών μετά το 2016). | Δωρεάν σε ανοιχτό κώδικα· ~ 0,03 $/κλειδί/μήνα σε διαχειριζόμενο SaaS (AWS KMS, Azure Key Vault). |
Η κρυπτογράφηση TLS έχει γίνει απαραίτητη για την προστασία των ηλεκτρονικά υπογεγραμμένων εγγράφων σας. Ανακαλύψτε τις καλύτερες πρακτικές για την ασφάλεια των ροών εγγράφων σας σύμφωνα με το eIDAS.
Η κρυπτογράφηση end-to-end είναι ο τεχνολογικός πυλώνας της εμπιστευτικότητας των ηλεκτρονικά υπογεγραμμένων εγγράφων. Η κατανόηση της λειτουργίας του σημαίνει να κατανοήσετε την ασφάλεια των συμβατικών σας ανταλλαγών.
Το HSM και το TPM είναι δύο τεχνολογίες ασφάλειας υλικού που συχνά συγχέονται, αλλά έχουν πολύ διαφορετικούς ρόλους. Ανακαλύψτε πώς να επιλέξετε το σωστό μοντέλο ανάλογα με τις ανάγκες σας.
Η κρυπτογραφία HSM είναι το αόρατο θεμέλιο κάθε προσόντος ηλεκτρονικής υπογραφής. Η κατανόηση της λειτουργίας της σημαίνει κατακτήσει την κρυπτογραφική ασφάλεια της εταιρείας σας.
Το Certyneo βασίζεται σε HSM που είναι πιστοποιημένα με τα Common Criteria EAL4+ και λειτουργούν από ειδικό QTSP που περιλαμβάνεται στον Ευρωπαϊκό Trusted List eIDAS.
Χρησιμοποιούμε cookies για να βελτιώσουμε την εμπειρία σας στον ιστότοπό μας. Τα cookies που είναι απολύτως απαραίτητα για τη λειτουργία της υπηρεσίας είναι πάντα ενεργά. Περισσότερα