Ένα HSM (Hardware Security Module, στα ελληνικά «μονάδα ασφάλειας υλικού») είναι μια αδιάβλητη ηλεκτρονική συσκευή που δημιουργεί, αποθηκεύει και χρησιμοποιεί κρυπτογραφικά κλειδιά χωρίς ποτέ να τα εκθέτει σε μορφή απλού κειμένου εκτός της συσκευής. Πρόκειται για το υλικό στοιχείο που καθιστά δυνατή την πιστοποιημένη ηλεκτρονική υπογραφή (QES) κατά την έννοια του κανονισμού eIDAS, την κρυπτογράφηση δημόσιου κλειδιού (PKI), τη ρίζα εμπιστοσύνης μιας αρχής πιστοποίησης (CA) και, γενικότερα, κάθε κρυπτογραφική λειτουργία που απαιτεί εγγύηση φυσικής και λογικής αδιαβάθμισης. Ο παρών οδηγός εξηγεί συγκεκριμένα τι είναι ένα HSM, σε τι χρησιμεύει, πώς πιστοποιείται (FIPS 140-2, FIPS 140-3, Common Criteria EAL4+) και σε τι διαφέρει από ένα TPM ή ένα KMS που λειτουργεί αποκλειστικά ως λογισμικό.
Ένα HSM είναι ένα υλικό δοχείο (rack 1U, κάρτα PCIe, USB ή συσκευή δικτύου) που εκτελεί κρυπτογραφικές λειτουργίες (γεννήσεων κλειδιών, υπογραφής, κρυπτογράφησης, αποκρυπτογράφησης, χάσινγκ) μέσα σε ένα σφραγισμένο φυσικό ενκλάβο.
Συγκεκριμένα, μια εφαρμογή που επιθυμεί να υπογράψει ένα έγγραφο αποστέλλει στο HSM το hash (SHA-256) του εγγράφου μέσω μιας τυποποιημένης API (PKCS#11, KMIP, CNG, JCE). Το HSM υπογράφει το hash με ένα ιδιωτικό κλειδί που βρίσκεται αποκλειστικά στο «enclave» του και, στη συνέχεια, επιστρέφει την υπογραφή. Το υπογεγραμμένο έγγραφο περιέχει την υπογραφή και το αντίστοιχο δημόσιο πιστοποιητικό — αλλά το ιδιωτικό κλειδί παραμένει απόλυτα προστατευμένο. Αυτό είναι που διακρίνει μια πιστοποιημένη υπογραφή eIDAS (QES, υποστηριζόμενη από HSM από την πλευρά του πιστοποιημένου παρόχου) από μια απλή υπογραφή (SES, χωρίς υλικό περιορισμό) ή μια προηγμένη υπογραφή (AES, με κλειδί που ελέγχεται από τον υπογράφοντα).
Το HSM δεν είναι μια ευκολία για το κοινό: απαιτείται από τη στιγμή που ένας κανονισμός, ένα πρότυπο ή μια σύμβαση απαιτεί μια υλική εγγύηση αδιαβράδαντων κλειδιών.
Ο ευρωπαϊκός κανονισμός eIDAS (ΕΕ 910/2014) απαιτεί να παράγεται μια ειδική υπογραφή από μια συσκευή δημιουργίας ειδικών υπογραφών (QSCD) που είναι πιστοποιημένη στην πράξη, από HSM πιστοποιημένο EN 419 221-5 ή Common Criteria EAL4+. Το HSM του ειδικού πάροχου εμπιστοσύνης (QTSP) είναι αυτό που στεγάζει το ιδιωτικό κλειδί του υπογράφοντα και εκτελεί την υπογραφή.
Τα HSM διαχειρίζονται τα βασικά κλειδιά κρυπτογράφησης (Key Encryption Keys, KEK) που κρυπτογραφούν τα κλειδιά κρυπτογράφησης των βάσεων δεδομένων, των δίσκων (BitLocker, LUKS) ή των ασφαλίστρων.
Κάθε ρίζα, μεσολάβηση ή εκδίδουσα αρχή πιστοποίησης (CA) χρησιμοποιεί ένα HSM για να παράγει και να χρησιμοποιεί το κλειδί που υπογράφει τα πιστοποιητικά X.509. Το κλειδί ρίζας μιας δημόσιας (Let's Encrypt, DigiCert, Sectigo) ή ιδιωτικής εταιρικής (Active Directory CS, ADFS) CA πρέπει να κατοικεί σε πιστοποιημένο HSM.
Οι πλατφόρμες cloud (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM) παρουσιάζουν HSM που είναι μοιρασμένα ή αφιερωμένα για τη διαχείριση του πλήρους κύκλου ζωής των κλειδιών: δημιουργία, περιστροφή, παράδοση, αρχειοθέτηση, καταστροφή.
Τα πιστοποιητικά TLS των κρίσιμων υποδομών (τραπεζικές πύλες, υπογραφή κώδικα λογισμικού, root CA των κατασκευαστών IoT) προστατεύονται από το HSM. Το HSM υπογράφει τα εξερχόμενα πιστοποιητικά χωρίς ποτέ να εκθέτει το root key ακόμη και σε περίπτωση πλήρους παραβίασης του διακομιστή υποδοχής.
Το επίπεδο πιστοποίησης καθορίζει τους κανονισμούς στους οποίους η χρήση του HSM μπορεί να δικαιούται (eIDAS QSCD, PCI-DSS HSM, αμυντικές συμβάσεις).
Το FIPS 140-2 (εκδόθηκε το 2001, αποσύρθηκε από τον ενεργό κατάλογο το 2026) και ο διάδοχός του FIPS 140-3 (ενεργό από το 2019, υποχρεωτικό για νέα προϊόντα από το 2024) ορίζουν 4 επίπεδα ασφαλείας.
Το Common Criteria είναι το διεθνές πρότυπο αξιολόγησης της ασφάλειας των προϊόντων πληροφορικής. Για τα HSM, το επίπεδο Common Criteria EAL4+ με το Προφίλ Προστασίας EN 419 221-5 απαιτείται από τον κανονισμό eIDAS για τις συσκευές δημιουργίας ειδικών υπογραφών (QSCD).
Τα πρότυπα ETSI καθορίζουν τις τεχνικές απαιτήσεις που πρέπει να τηρούν οι ειδικευμένοι πάροχοι υπηρεσιών εμπιστοσύνης (QTSP) κατά την έννοια του eIDAS , συμπεριλαμβανομένης της χρήσης HSM πιστοποιημένων EN 419 221-5.
Το ANSSI εκδίδει ένα Γενικό Πλαίσιο Πιστοποίησης Ασφάλειας (GRS) και εκδίδει Πρότυπο και Ενισχυμένο πιστοποιητικά για τα κρυπτογραφικά προϊόντα.
Η σωστή επιλογή εξαρτάται από την αξία των κλειδιών που πρέπει να προστατευθούν, τους ρυθμιστικούς περιορισμούς και τον προϋπολογισμό.
| Διάσταση | HSM | ΔΕΠ | Εφαρμογές λογισμικού KMS |
|---|---|---|---|
| Σκοπός | Προστασία των κρυπτογραφικών κλειδιών επιχειρήσεων και υποδομών (QES, PKI, KMS). | Σφραγίστε την εκκίνηση και αναγνωρίστε το μηχάνημα (BitLocker, πιστοποίηση TPM 2.0). | Κεντρική λειτουργία του κύκλου ζωής των κλειδιών σε μνήμη/διάδρομο χωρίς υλική απομόνωση. |
| Κρυπτογραφική ροή | Πολλές χιλιάδες υπογραφές RSA-2048 ανά δευτερόλεπτο (υψηλότερες τεχνολογίες: 25 000+ sig/s). | Μερικές υπογραφές ανά δευτερόλεπτο προσανατολισμένες σε τοπικές χρήσεις. | Περιορίζεται από τον ξενιστή CPU (συχνά < 1000 sig/s για RSA-2048). |
| Ειδικές απαιτήσεις | FIPS 140-2/3, Common Criteria EAL4+, EN 419 221-5 (QSCD eIDAS). | Η κοινή κριτήρια EAL4+ για το TPM 2.0 (Microsoft Pluto, Google Titan). | Χωρίς υλικό πιστοποιητικό. ISO 27001 του προμηθευτή, το καλύτερο. |
| Υλική μορφή | Κάθετο rack 1U-2U, κάρτα PCIe, σκληροπίστωση USB, ή διδυμή δικτύου. Από 8.000 €. | Τσιπ που είναι ζυγισμένο στην μητρική πλακέτα (TPM 2.0) ή εικονικοποιημένο (vTPM). | Δωρεάν (HashiCorp Vault, OpenStack Barbican) ή SaaS (AWS KMS χωρίς CloudHSM). |
| Τυπική περίπτωση χρήσης | Ειδική υπογραφή eIDAS, PKI root, συμμόρφωση PCI-DSS, άμυνας. | Ασφαλής εκκίνηση, κρυπτογράφηση τοπικού δίσκου, πιστοποίηση Windows Hello. | Εφαρμοστική κρυπτογράφηση, μυστικά DevOps, εσωτερικά μη κρίσιμα πιστοποιητικά. |
| Συνολικό κόστος ιδιοκτησίας | € 8 000 έως € 80 000 ανά συσκευή + συντήρηση + έλεγχος. | Το κόστος περιθωρίου (δηλαδή στο 99% των επαγγελματικών υπολογιστών μετά το 2016). | Δωρεάν σε ανοιχτό κώδικα· ~ 0,03 $/κλειδί/μήνα σε διαχειριζόμενο SaaS (AWS KMS, Azure Key Vault). |
Η κρυπτογράφηση TLS έχει γίνει απαραίτητη για την προστασία των ηλεκτρονικά υπογεγραμμένων εγγράφων σας. Ανακαλύψτε τις καλύτερες πρακτικές για την ασφάλεια των ροών εγγράφων σας σύμφωνα με το eIDAS.
Η κρυπτογράφηση end-to-end είναι ο τεχνολογικός πυλώνας της εμπιστευτικότητας των ηλεκτρονικά υπογεγραμμένων εγγράφων. Η κατανόηση της λειτουργίας του σημαίνει να κατανοήσετε την ασφάλεια των συμβατικών σας ανταλλαγών.
Το HSM και το TPM είναι δύο τεχνολογίες ασφάλειας υλικού που συχνά συγχέονται, αλλά έχουν πολύ διαφορετικούς ρόλους. Ανακαλύψτε πώς να επιλέξετε το σωστό μοντέλο ανάλογα με τις ανάγκες σας.
Η κρυπτογραφία HSM είναι το αόρατο θεμέλιο κάθε προσόντος ηλεκτρονικής υπογραφής. Η κατανόηση της λειτουργίας της σημαίνει κατακτήσει την κρυπτογραφική ασφάλεια της εταιρείας σας.
Το Certyneo υποστηρίζει HSM αυτόνομα στα πλάνα Common Criteria EAL4+ λειτουργούμενα από ένα QTSP καθιερωμένο στην Trusted List eIDAS ευρωπαϊκή. QES 9,90 €/ψηφία σε όλα τα πλάνα, συμπεριλαμβανομένου του Δωρεάν.
Χρησιμοποιούμε cookies για να βελτιώσουμε την εμπειρία σας στον ιστότοπό μας. Τα cookies που είναι απολύτως απαραίτητα για τη λειτουργία της υπηρεσίας είναι πάντα ενεργά. Μάθετε περισσότερα για την πολιτική cookies μας