HSM vs TPM: zer da diferentzia eta zein aukeratu?

Sarrera: bi modulu, bi segurtasun-filosofia

Kriptografia aplikatuaren eta gako digitalaren protexioaren eremuan, bi teknologia beti itzuli ohi dira DSI eta RSSI-en eztabaidetan: HSM (Hardware Security Module) eta TPM (Trusted Platform Module). Bi gailu material hauek helburua dute aintzat: eragiketa kriptografikoak sentiberak babesten dituzte, baina haien arkitektura, erabilerraren kasuak eta segurtasun-sertifikazio-maila aldatzen dira oinarrizko moduan. Biak nahastzeak infraestrukturaerako hautapen ez-egokiak eragin ditzake, eta batez ere lege-arazoei dagokionez ere. Artikulu hau zuri ematen dizu gakoak HSM vs TPM diferentzia ulertzeko, identifikatzeko noiz erabili bata edo bestea, eta zure erakundarentzat 2026an erabaki onena hartzeko.

---

Zer da HSM (Hardware Security Module) bat?

Hardware Security Module bat gailu material dedikatua da, bereziki garatu ingurune fisiko eta logikoki segurua batean gakoak kriptografikoak sortzeko, goratzeko eta kudeatzeko. Osagai autonomo bat da —sarritan PCIe txartel, sare-appliance edo zerbitzu cloud (HSM as a Service) moduan— zeinen funtzio nagusia eragiketa kriptografikoak errendimenduz altuan exekutatu ahal izatea da, gakoak inoiz ez estalita sartzen dutelarik modulutik kanpoan.

HSM-aren ezaugarri teknikoak

HSM-ak sertifikatzen dira nazioarteko arau gogorretan, batez ere FIPS 140-2 / FIPS 140-3 (2, 3 edo 4 mailak) NIST estatubatuarrak argitaratutakoak, eta Common Criteria EAL4+ ISO/IEC 15408 arauren arabera. Sertifikazio hauek fisikoko faltsukeria-mekanismoak (tamper-resistance), intrusio-detektoreak eta gakoen beheraketa automatikoa dauzkate konpromiso-saiakera batean.

HSM tipiko batek honakoa ematen du:

• Trazamendu-gaitasun handia: milaka eragiketa RSA edo ECDSA segunduko
• Multi-tenancy: gako kriptografikoen ehunka partizioen kudeaketa independentea
• Interfaze estandarizatuak: PKCS#11, Microsoft CNG, JCA/JCE, OpenSSL engine
• Auditoria-arrail osoa: eragiketa bakoitzaren erregistro-ezeustezina

HSM-aren erabilerraren kasu tipikoak

HSM-ak eIDAS arauaren arabera firmari elektroniko kualitatua egitean oinarria dira, non sinataria baten gako pribatua sortu eta goratu behar den deskribapenaren gailu kalitatezko batean (QSCD). Ekuipo horiek ere hornituko dituzte agentzien agentziak (CA/PKI), sare batean dituzten sistemak (PCI-DSS protokolo HSM-a), datu-baseen enkriptatzeko infraestrukturak eta kode-sinaren ingurua.

Enpresen firmari elektroniko kualitatua sistematikoki sartzen du HSM bat kalifikatuaren gisa QSCD batean firmen baliotzeko legala maximoa bermatzeko.

---

Zer da TPM (Trusted Platform Module) bat?

Trusted Platform Module bat segurtasun-txipa da ordenagailuaren, zerbitzariaren edo objektu konektatuaren plakaren zuzenean integratua. Trusted Computing Group (TCG) taldeak estandarizatua, eta TPM 2.0 argitalpenaren arabera ISO/IEC 11889:2015 arautan ere normalizatua, TPM-a diseinatua dago plataforma bera babesteko, zerbitzari kriptografikoa eskaini behar duen edozein bere ordez.

TPM-aren arkitektura eta funtzionamendua

HSM-aren aldean, TPM bat erabilera bakarra duen osagaia da, gailu material zehatz bati esteka egina. Ezin da mugitu edo makineen artean partekatu. Bere funtzio nagusiek honakoa biltzen dute:

• Abioen integritate-neurriak (Secure Boot, Measured Boot) Platform Configuration Registers (PCR) bidez
• Gakoen goratzea platefarmari estekatua: TPM-ak sortutako gakoak bakarrik erabil daitezke gakoa sortu zuen makinan
• Zenbaki aleatorioen sorrera kriptografikoak (RNG)
• Urruneko attestatzioa: zerbitzari urrune bati frogatzen diogu plataforma koñerezko egoera seguruan dagoela
• Bolumenaren enkriptaketa: BitLocker Windows-en, dm-crypt TPM-arekin Linux-en zuzenean sartzen dira TPM-ean

TPM-aren mugak enpresa-erabilerraren aurora atzerako kasuetan

TPM 2.0 bat FIPS 140-2 maila 1 sertifikatua da, gehienez ere, hori enpresa profesionaletako HSM-en FIPS 140-3 maila 3 sertifikazioen baino are makurkemena da. Trazamendu kriptografikoaren gaitasuna limitatua da (segundoko ehunka eragiketa batzuk), eta ez du PKCS#11 edo CNG interzaeen osagarritzea egiten moduan hain osoa edo HSM dedikatu batean. Firmari elektroniko anitzia edo kualitatearentzat, TPM bakarrik signature électronique avancée ou qualifiée eta eIDAS II eranskinaren exigentzien inguruan orokorrean ez da nahikoa QSCD sarean.

---

HSM vs TPM-aren oinarrizko diferentziak: alderatzeko taula

Diferentzia HSM vs TPM Trusted Platform Module ulertzea ezarpenaren bidez egindako alderatzean dago.

Segurtasun-maila eta aitormenaren ziurtasuna

| Irizpidea | HSM | TPM | |---|---|---| | FIPS segurtasuna | 140-3 maila 2 eta 4 | 140-2 maila 1 | | Common Criteria | EAL4+ eta EAL7 | EAL4 | | eIDAS QSCD kualifikazioa | Bai (adibidez: Thales Luna, Utimaco) | Ez | | Fisikoko faltsukeria-babesmen handia | Aurreratua (beheraketa-burua) | Oinarrizkoa |

Gaitasuna, eskalabilitatea eta integrazio

HSM-ak bi-pentzako eta bi-aplikazio gailu denak: sare-appliance bakarrik ehunka kliente, aplikazio eta zerbitzu aldi berean sartu daitezke PKCS#11 edo REST API bidez. Altuak eskuragarri diren arkitekturan integratzen dira (cluster aktiboa) eta enkriptatzeen trazamendu industrialak laguntzen dituzte.

TPM-ak, aldean, bake-makinaren eta bakarra-tenantaren diseinua dute. Asko dute lan-aurretikaren babespean, Windows Hello for Business-en credential-en aurretik, eta firmware-aren integritate. Firmari elektroniko-en eragiketetan dokumentu-lan-fluxuetan, TPM-ak ezin du partekatu zerbitzari kriptografikoan rola jolastu.

Kostua eta despleguea

Enpresa-maila sare-HSM bat (Thales Luna Network HSM, Utimaco SecurityServer, AWS CloudHSM) 15 000 € eta 80 000 € artean inbertsioa du on-premise materialerako, edo 1,50 € eta 3,00 € artean orduko horniaren moduan kudeatuaren moduan, hornitzaileen arabera. TPM-a, aldean, integratua dago 2014tik aurrera ordenagailuen, zerbitzarien eta sistema entzuteen gehientsuetan (obligatorioa Windows 11entzat 2021etik).

---

Noiz erabili HSM, noiz erabili TPM enpresan?

Galderaren erantzuna zure egoera operazionalak, alintza arautegiaren bidez eta zure sistema-informazioaren arkitekturak dute.

Aukeratu HSM honetan:

• Barnearen PKI bat despleguea: zure agentziari erradikal baten gakoak beharrezkoak dira HSM batuaren barruan gorako hartzea irudi-boterreko braileraren agiria osatzeko (CA/Browser Forum Baseline Requirements)
• Firmari elektroniko kualitatuzko hornidura: eIDAS n°910/2014 arauan II eranskinean aginduta, QSCD-ak sertifikatuak izan daitezke EAL4+ edo berdinaren arauetan gutxienez; Firmari elektroniko-ren soluzioaren alderaketa-ak detaleatzen ditu ezarentzat
• Altua bolumenean finansu-transakzioen babespena: PCI-DSS v4.0 arauak (3.6 atala) enpontzen dute enkriptatzeen gakoen babespenak HSM-an kartel-datuen hartzea
• Datu-baseen enkriptaketa edo cloud-en: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM-ak baimentzen dute gakoen galeramatxoak mantentzea (BYOK / HYOK)
• Kode-sinari eta CI/CD-ko konparazioen integritate: logika hartzemen sinadurak bizkortasun-katean babestuta nekatuak HSM-an gakoen galeraren saiakeria aurrezteko

Aukeratu TPM honetan:

• Ordenagailuen eta zerbitzarien abioaren segurtasun: Secure Boot + Measured Boot + attestatzioa urrunera bidez TPM 2.0-an egiten dute Zero Trust-en oinarria endpoint-ean
• Disko batean enkriptaketa osoa: BitLocker TPM-arekin galtzen babesagatik beste zerbitzari batean menpekotasun gabe
• Ordenagailuen materialo-autentifikazioa: Windows Hello for Business-ak erabiltzen du TPM-a sinataria pribatu gakoak goratzeko ateraketa-posibilitate gabe
• NIS2 arauen adequazioa endpoint-en segurtasunean: NIS2 direktiba (UE 2022/2555) eta Frantzia-ko lege-ematea 2024ko ekainean, ezarri behar dituzte neurriak proportzionalak informazio-sistema-arauen segurtasunentzat; TPM-ak zuzenean laguntzen du material-aktiboen segurtasunan
• IoT industrialen proiektuak: TPM-ak integratua automan eta SCADA sistemetan aurrezteko atteistatzioa urrunera gabe HSM-ko dedikaturik horrela

HSM + TPM arkitektura hibridoak

Organisazio handien, HSM-ak eta TPM-ak ez dira kontrajartzen: osatzen dute bata bestea. Zerbitzari batean equipatua TPM 2.0-arekin atteistatzi dezake haren integritate urruneko zerbitzari batean, eta operazio kriptografikoak (firma, datuen enkriptaketa) delegatzen zaituzte sare-HSM taldean. Arkitektura hau gomendatua da ANSSI-ak bere gidan fidatzakoaren zerbitzuen hornitzaileen arriskuaren estimatioan (PSCE). Kontsultatu Firmari elektroniko-ren glosarioa talde teknikoei laguntza ematekoterminologia bateratuaren honetan, arkitektura hau definituaren garaian.

Lege-markoa eta arauena HSM eta TPM-en aplikagarria

HSM eta TPM-aren hautaketak zuzenean eragiten du zure erakundiaren arauen europarren eta nazioarteko gehienetan.

eIDAS n°910/2014 araura eta eIDAS 2.0 (Europar Batasunaren 2024/1183 araura)

eIDAS arauren 29. artikuluak enpontzen du Firmari elektroniko kualitatuzko sinadura behar dutela erabili Qualified Signature Creation Device (QSCD) batez, II eranskinean definitua. Gailu hauek konfidentzialitate bermatu behar dute pribatu gakoan, unizitatean eta askatasuna. QSCD aitortuaren zerrenda argitaratuak dituzte akreditatze-organismoek (Frantzian: ANSSI). HSM-ak sertifikatuak FIPS 140-3 maila 3 edo Common Criteria EAL4+ zerrenda honetan daude; TPM-ak ez daude. Sinadura-zerbitzugia Certyneo-ren bezalakoa, HSM batuarekin laguntzen du sinadura emititutako baliotzeko probatua maximoa bermatzeko.

Frantziako zibil-legeak, 1366 eta 1367 artikuluak

1. artikuluak aitormen egiten du idazki elektronikoan « baldin eta pertsona baten funtzioa zuzenki identifikatua daitekeen eta eta sortu eta goratu egiten den integritate batean egiturik duten baldintzetan ». 1367. artikuluak zehazten ditu sinatadura elektroniko fidagarriaren baldintzak, eIDAS-en exigentzietara inplizituki bihurtzen da sinatadura kualitatuentzat.

GDPR n°2016/679, 25 eta 32 artikuluak

privacy by design printzipioak (25. artikulua) eta neurri teknikoen obligazioaren arabera (32. artikulua) enpontzen dute pertsona datuen enkriptatzeko erabiliagako gakoen babespena. HSM batuaren alatzen du egoera-artea (egoera-artea GDPR-en 83. kontsentsuaren arabera) CNIL-en kontrol batean baterasunarena frogatzeko.

NIS2 direktiba (UE 2022/2555), Frantzian bihurpena

NIS2 direktiba, aplikagarria entitate garrantzitsuen eta garratzuen ordutik 2024ko urriaren aurrera, enpontzen du 21. artikuluan erriskoaren kudeaketaren neurri batzuk, logike-katean segurtasuna eta enkriptaketa barne. HSM-ak zuzenean erantzuten dituzte exigentziak operazio kritikoentzat, TPM-ak bitartean, laguntzen dute endpoint-en segurtasunan.

ETSI arauak

ETSI EN 319 401 araura (exigentziak fidatzakoaren zerbitzuen hornitzaileen orokorrentzat) eta ETSI EN 319 411-1/2 (exigentziak agentziak sinatzen CA hornitzaratzat) enpontzen dute gakoen goratzea HSM batuaren barruan. ETSI EN 319 132 araura (XAdES) eta ETSI EN 319 122 (CAdES) azaldu dituzte sinatua-formatuak, zeinarek supotsatzen duten gailu batuaren araudun erabilera.

ANSSI gomendazioak

ANSSI-ak argitaratzen du RGS (Referentiel Général de Sécurité) eta bere gaiak HSM-ean, gomendatzen duen modulo batuaren erabilera organismoetan eta OIV/OSE-an sensible infraestruktura PKI guziaren egitean. Gomendazio horien ez-betetzeak NIS0 obligazio-falta osoa eragin dezake organismoetan.

Erabiltzaren eszenariak: HSM edo TPM kontextuaren arabera

1. eszenaria: finantzu-aktiboen kudeaketa-sozietatea PKI barneakoan

Sozietate batek aktiboak dolatzen dituzte eta miliardeetan aktiboak kudeaketa-azpian sinatzen dituzte elektronikoki araubide arautzaileak (AIFMD, MiFID II) eta inbertsioen kontratuak baliotzea juridikoa kualitatuzko. Despleguak barneako PKI bat zeinen gakoak erradikalak (Root CA) eta tartekoak (Issuing CA) babestuak daude bi sare-HSM taldean altuaren eskualkari, sertifikatuak FIPS 140-3 maila 3. Sertifikatua kualitatuzko sinadura eIDAS QSCD arauan lanean dauden HSM partzuerguen honetik. Emaitza: 100% sinatuta firmari balio kualitatua daude, AMF-en auditoriok aitoratu konpliantzia, eta sinatza-denbora dokumentuen inbertsio-artean 4 egunetik 2 ordutan baino gutxiagotan jaitsi. HSM-ko infraestrukturan kostuak amortizendu egiten da 18 hilabetean baino lehen ez-betetzea-aurrean kaltegarria balioen artean.

2. eszenaria: PME industriala 150 langilearekin bere lan-makinak seguratzean

PME industriala fabrikazioaren planetaren barnean, sortzaile batean 2 mailan NIS2 arauen CMMC (Cybersecurity Maturity Model Certification) exigentzien begira eta gomendazioak, eta babestu behar ditu 150 postako Windows lehenengo aldiz sekretuak tekniko saibara. RSSI-ak despleguak BitLocker TPM 2.0-arekin osoan ordutik dela parekatzean, lagunduta Windows Hello for Business-en autentifikazioan askorik-aditzera gabe. Atteistatzioa urrunera bidez TPM integratua MDM-en soluzioan (Microsoft Intune). Ozala ez du behar HSM batean kontextu honetan: TPM integratua postako Dell eta HP aski dute. Emaitza: arriskua datuen saiakera lapurretik ordenagailu fisiko-den laguntza-azpian gutxi edo ez da, eta cyber-segurtasun-maillaren PME-aren kalkulua 40% aitzinatu CMMC beharren auto-autoak. Kostu gehigarria: 0 € (TPM jadanik integratua makinen barnean).

3. eszenaria: zeinu-elektroniko-ho sare multitalde-argazki operador

Operador SaaS-ak sinadura-elektroniko-ren zerbitzu esklausoen enpresa-klienteetara ehunka duen balitzean eta ziurtagiriak eIDAS-en kualizioa egunean garantiatu behar da. Despleguak HSM arkitektura cloud-arean dedicatua (AWS CloudHSM edo Thales DPoD), HSM partizioa kliente-bikoitzarekin handiaren eta ehunka-kliente-arrendatarientzat partzuerak. Kliente bakoitzak bere partizioaren gakoak barneratzea izaten dituzte, auditeria independentemente. TPM-ak hornitzen dute aplikazio-zerbitzariak attestazioaren integritate-agatara platefarmaren egiaztapen eIDAS-en (QTSP) garaian. Emaitza: operadorak QTSP-en eligazioaren hartan ANSSI agirrean, baimentzen diotenak firmari kualitatuzkoaren horniketa. HSM zerbitzu as a Service modeloak kapex-ren infraestruktura 60% murrizten du on-premise solusioaren aldean, baliotuen industrialak alderakapenean.

Ondorioa

HSM eta TPM-aren arteko diferentzia oinarrizkoa da: HSM zerbitzu kriptografikoa da partzuakoa, errendimenduz altuak eta multi-aplikatiboa, beharrezkoa PKI-en, eIDAS sinatudun firmaren eta PCI-DSS edo NIS2-ko arauen betetzean skala handin. TPM osagaia da zintzo bat gailu material zehatz bati esteka egina, ederki abioen segurtasunerako, abioaren abioak eta autentifikazioa lokalean. 2026an organisazio enpresa osagarriak gehientsuetan, biak batu dituzte rolen osatzaileak eta ez-aldagarriak.

Zure erakundioa sinatadoraren elektroniko-ko kualitatuzko soluzioa desplegutzea nahi dute HSM batuaren infraestrukturaez laguntza, barnearen teknikoaren arazoak kudeatu gabe, Certyneo zuri eskaaintzen dituzu plataforma SaaS gako-bista guzian, eIDAS eta GDPR arauen behar-itzean. Ezagutu Certyneo-ren prezioak edo kontaktua gure adituak zure behar kriptografikoen auditoriaren egitean.