Zer da HSM eta TPM artean desberdintza?

TPM (Trusted Platform Module) puxka bat likidatu ordenagailuaren txartel-nagusian edozein ordenagailuetan laneko moderno — helburua abiatzea sintzea, disk zifratze (BitLocker) eta makina bakarra moduan identifikatzea. HSM (Hardware Security Module) kaxa autonomo bat da enpresakoaren zifratze-gakoen kudeaketak dedikatu — helburua eIDAS kalifikatutako dokumentu-sinadura egitea, ziurtagiri-agintza baten erra ostaldu, edo banku zifratze-gakoak babesta. TPMa euroar batzuk ordenagailuko; HSM batek euroar milaka etik ehun milaka ditu, eta entzutandako ezberdintasuna da nagusiei sailean baino.

HSM zifratze benetan haustezina al da?

Ez dago babesa absolutua, baina HSM zifratzea da gaur egun hardware babespen handienaren maila eskuraguena. FIPS 140-3 2. maila zaintza ziurtatua edo Common Criteria EAL4+ kanalaurreko erasoei aurre egiten dituzte (kontsumoa analisa, emanazio elektromagnetikoak), fault injection erasoei (tentsioa edota tenperatura-trubada), eta automatikoki gakoak ezabatzen dituzte kaxa irekitzean (eraso-erantzuna). Ez da kasurik dokumentatua HSM batek asetzea operazioa guztiz ondoan sarean egungo hamarko urteen baitan.

HSM erosi behar dut kalifikatutako sinadura elektronikoa erabili?

Ez, konfiantza-zerbitzuen prestatari zure burua baldin bazara. QES sinatzeagate, zure gako pribatua QTSP kalifikatuaren (Universign, Certinomis, LuxTrust, eta beren laguntza Certyneo) HSMa hartzen da europar Trusted List eIDAS amaitzen dena. Ez duzu HSMa zuzenean ikusi — autentikazio sendo (puxka txartel edo Remote QES MFA + biometria eIDAS 2.0tik) bidez elkarlanean.

Zer da HSM eta KMS artean desberdintza?

KMS (Key Management Service) zerbitzua software bat da zifratze-gakoen ziklo osoa gida duen — sortaraztea, biraketa, artxibatzea, auditoria. HSM hardware osagaia da fisikoak zintzo eragiketa kriptografikoak exekutatzen duen gako horientzat. Bi hartu ez ezberdintasuna: KMS ondo batek HSMa atzetik asko apoya (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM). KMS puro softwarea (HSMrik gabe) asetzea baita barruko erabili-kasuetan ez-kritikoetan araubide-esigintza baina ez datza PCI-DSS, eIDAS QES edo HIPAA HSMaren hartzeko.

Nor dira HSM fabrikatzaile nagusiak 2026an?

HSM merkatu dominatua bost fabrikatzailearengandik: Thales (Luna eta payShield sailak, historian lider), Utimaco (CryptoServer, europako QTSP asko hornitzaile), Atos Eviden (Trustway Proteccio, ANSSI Indartuak kalifikazioa), Marvell LiquidSecurity (HSM hodeia ama AWS eta Azure) eta Entrust nShield. Hiperscale bat bere nori dute: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. eIDAS kalifikatutako sinadura, erabaki-kritikoa da Common Criteria EAL4+ EN 419 221-5 Protection Profile hartuta.

HSM hodeia mailan alokatu daiteke beharrean erosteagatik?

Bai. AWS CloudHSM, Azure Dedicated HSM eta Google Cloud HSM HSM dedikatu errenteak ziurtatuta FIPS 140-2 3. maila (tipikoan 1 eta 3 €/ordu artean). eIDAS kalifikatutako sinadura, ez datza soilik nahikoa — QTSP kalifikatua behar da prestatari bere nori HSM operazioa eta europar Trusted List amaitzen dena. HSM hodeia abantaila elastikotasuna da (ez CAPEX, ez mantentze fisikoa), hiperscale batena amerikan dependentzia prezioan (gaia sentsia hodeia Legea eta europar izaera askatasunaren aspektutik).

Nola zintzo sinadura prestatari bat benetan HSM ziurtatua erabiltzen dute?

Prestatari bat europar Trusted List eIDAS amaitu behar da (https://eidas.ec.europa.eu/) QTSP (Qualified Trust Service Provider). Inskripzioa soilik ematen dago auditorean dute duen organismo akreditatu batek (Frantzian LSTI/COFRAC, Alemaniar TÜV) zintzo gainera HSM erabiltzen du araubideak EU 419 221-5 eta EN 419 241-2 (Remote QES eIDAS 2.0tik). Gainera, eskakizun prestatari common Criteria ziurtagiri-zenbakia HSM erabili — QTSP bat osa batek argitaratzen ditu bere teknikoa dokumentazioa.

Kriptografia hardwarea · FIPS 140-3 · CC EAL4+

HSM (Hardware Security Module) : zergatik eta noiz erabili

HSM (Hardware Security Module, euskaraz segurtasun modulua hardwarea) gailu elektroniko haustezina da, zifratze-gakoak sortzen, gordetzen eta erabiltzen dituena, inoiz ere kanpo blokean argi agerian jarri gabe. Kriptografia osoa gauzatzeko behar den osagaia da, eIDAS arauan entzutandako sinadura elektroniko kalifikatua (QES) egiten duena, gako publikoko zifratze-sistema (PKI) ahalbidetzen duena, ziurtagiri-agintza (CA) baten konfiantza-erroa ahalbidetzen duena, eta oro har, inviolabilitate fisiko eta logikoa bermatzea eskatzen duten edozein eragiketa kriptografikoa. Gida honek azaltzen du zehatzean zer den HSM bat, zer-tarako balio duen, nola ziurtatzen den (FIPS 140-2, FIPS 140-3, Common Criteria EAL4+), eta TPM edo KMS software hutsa nola desberdintzen diren.

Zer da HSM bat, zehatzean?

HSM bat hardwarearen kaxa bat da (1U rack, PCIe txartel, USB giltza edo sare-gailu bat) zifratze eragiketak exekutatzen dituena (gakoak sortaraztea, sinatzea, zifratzea, desifratzea, hash-eztea) mugatutako enklave fisiko batean. Gako pribatua inoiz ez du utzi HSMa: ateratzearen edozein saiakera hautsa-erantzunaren bitartez zuzenean ezabatzen da. Kaxa dago diseinu egina kanalaurreko erasoei aurre egiteko (kontsumoa-analisa elektrikoa, emanazio elektromagnetikoak, tentsioa-trubada), bit-buelta erasoei (fault injection) eta mikroskopio elektronikoa bidez behatzaile-erasoei.

Zehatzean, dokumentua sinatu nahi duen aplikazio batek HSMari bidaltzea datza dokumentuaren laburpena (SHA-256 hash) API estandarizatu baten bidez (PKCS#11, KMIP, CNG, JCE). HSMak hatera signatzen du hash bat gako pribatu batez, gako hori eksklusiboki bere enklavean bada, ondoren sinadura itzultzen ditu. Sinadura duen dokumentuak sinadura eta horri dagokion ziurtagiri publikoa biltzen ditu — baina gako pribatua ezabatzaile babestuta mantentzen da. Hau da eIDAS kalifikatutako sinadura (QES, HSMari atxikia kalifikatutako prestatari aldetik) desberdintzen duen gauza sinadura sinpleak (SES, hardware motarik gabea) edota aurreratua (AES, sinatariaren kontrola duen gakoaz).

Bost erabili-kasu non HSMa nahi-nahaiz den

HSMa ez da erabilpen masiboko gauza arrunta: beharrezkoa da araubide, arau edota kontratua gako baten inviolabilitate materialaren bermatzea eskatzen duena.

eIDAS kalifikatutako sinadura (QES)

eIDAS europar araudi (UE 910/2014) behartzazko sinadura kalifikatua gailu ziurtagiri-sortzaile kalifikatuak (QSCD) sortzerik sortu beharko dute ziurtatua — praktika, EN 419 221-5 ziurtatutako HSM bat edo Common Criteria EAL4+. Kalifikatutako konfiantza-zerbitzuen prestatariaren (QTSP) HSMa da hau, sinatariaren gako pribatua hartzen duena eta sinadura exekutatzen duena.

Senposkorren datuen zifratzea

HSMak gainditu gakoak (Key Encryption Keys, KEK) kudeatu behar dituzte, zeinek zifratzen dituzte datu-baseen zifratze-gakoak, diskoak (BitLocker, LUKS) edo babesen-gaiak. Tipiko kasu: PCI-DSS bete egitea ordainketaren prozesadorerako, HIPAA / HDS osasun-datuentzat, defenditze-sekretua administrazioetarako.

Ziurtagiri-agintza (PKI)

Edozein ziurtagiri-agintza (CA) erro, bitartekoa edo jaso-emaila HSM bat erabili behar du bere ziurtagiri X.509 signatzen duen gakoa sortu eta erabiltzeko. CA publiko baten erro-gakoa (Let's Encrypt, DigiCert, Sectigo) edo enpresakoaren pribatuak (Active Directory CS, ADFS) ziurtatutako HSM batean bizi behar da.

Zifratze-gakoen kudeaketa (KMS)

Hodeiko plataformak (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM) dago HSM mutualizatuak edo dedikatu ahal dituzte gakoen ziklo osoa kudeatzeko: sortaraztea, biraketa, deribatzea, artxibatzea, suntsitzea. Gainkera puro softwarearen KMS baten aurrean: inviolabilitate-froga erregulatzaile eta auditoreen aurka aukeztezina.

TLS erro eta zerbitzari-ziurtagiriak kritikonak

Azpiegituru kritikoen TLS ziurtagiriak (banku-ateak, softwareko kodera sinatzea, root CA IoT fabrikatzaileentzat) HSM batek babestuak daude. HSMak kanpoko ziurtagiriak sinatzen ditu gako-erra inoiz argitaratu gabe — zerbitzari-ostalaria guztiz oker egiten duten batasunetik ere.

HSM ziurtagiriak: zer jakin behar duzun

Ziurtagiri guztiek ez dute balio bera. Ziurtagiri-maila zehazten du zein araudia duten HSMaren erabilera irekia (eIDAS QSCD, PCI-DSS HSM, defenditze-sekretua kontratua).

FIPS 140-2 eta FIPS 140-3 (NIST, AEB)

FIPS 140-2 (2001ean argitaratua, 2026an aktiboa den katalogotik bota) eta honen jarraitzaile FIPS 140-3 (2019an baliozko, 2024tik aurrera produktu berrientzat derrigorrezkoa) 4 segurtasun-maila zehazten dituzte. 3. maila (enklabea irekitzen denean gakoak ezabatua) minimoa da banku eta publiko PKIrentzat; 4. maila (kanalaurreko erasoei erresistentzia eta ingurumen-aldaketetara) defenditze-sekretua zenbait erabili-kasurentzat beharrezkoa da.

Common Criteria EAL4+ (ISO/IEC 15408, nazioartsua)

Common Criteria produktu IT baten segurtasunaren ebaluazioaren nazioarte estandara da. HSMak, Common Criteria EAL4+ maila EN 419 221-5 Protection Profile-arekin kalifikatutako gailu ziurtagiri-sortzaile (QSCD) kopiatzaileak eskatzen dituzte eIDAS araudi bidez. Hau da europako kalifikatutako konfiantza-zerbitzuen prestatariek (QTSP) erabiltzen duten araubidea.

ETSI EN 319 411 eta 319 412 (Europa)

ETSI araudi zehazten dituzte tekniko-esigintza kalifikatutako konfiantza-zerbitzuen prestatari (QTSP) eIDAS zentzuan jarraitu beharreko — HSM ziurtatuak EN 419 221-5 erabiltzen dituzten, barne. QTSP bat europar Trusted List (eIDAS TL) amaitzen da, akreditatua dago organismo batek horietan auditzen Europako (Frantzian: LSTI, COFRAC).

ANSSI (Frantzia) eta BSI (Alemania)

ANSSIk Segurtasun Oro-hartuko Erreferentziolak (RGS) argitaratzen ditu eta produktu kriptografikoen "Standard" eta "Indartuak" kalifikazioak ematen ditu. Alemaniar BSIk kalifikazioaren arau bera argitaratzen ditu (CSPN, BSI-TR). Nazioarteko administrazio publikoak bere araubide nazionalak eskatzen dituzte europako ziurtagirizko onartutzetan gainera.

HSM vs TPM vs KMS softwarea — zer konponbidea aukeratu?

Boni aukera dago gakoen balioa, araubide-mugak eta aurrekontua nola auker hartzen du. Sei dimentsioak daude erabakian gida dituena.

Dimentsio	HSM, ez.	TPM bat da.	KMS softwarea
Helburua	Enpresakoaren eta azpiegituaren zifratze-gakoen babesa (QES, PKI, KMS).	Abiatzea sintzea eta makinak identifikatzea (BitLocker, TPM 2.0 ziurtagiria). Gako bat makinako.	Gakoen ziklo osoa memorian/diskoan zentraltzea, hardware isolaziorik gabe.
Kriptografia-emaria	RSA-2048 sinadura milaka bat segunduko (saro-eredu osoa: 25 000+ sig/s).	Sinadura talde segunduko — bai tokian tokian erabili-kasuentzat.	Ostalari CPU bidez mugatua (maiz < 1000 sig/s RSA-2048tik).
Araubide ziurtagiriak	FIPS 140-2/3, Common Criteria EAL4+, EN 419 221-5 (eIDAS QSCD).	Common Criteria EAL4+ TPM 2.0rentzat (Microsoft Pluton, Google Titan). Nahikoa ez eIDAS QESrentzat.	Hardware ziurtagiririk ez. Hornitzailearen ISO 27001 hobea.
Hardware itxura	1U-2U rack kaxa, PCIe txartel, USB giltza sendo edo sare-gailu dedikatu. 8 000 € aurretiaz.	TPMa likidatu borlean (TPM 2.0) edo virtualizatua (vTPM). Euro gutxi makinako.	Doakoa (HashiCorp Vault, OpenStack Barbican) edo SaaS (AWS KMS CloudHSMrik gabe).
Tipiko erabili-kasua	eIDAS kalifikatutako sinadura, PKI-erra, PCI-DSS bete, defenditze-sekretua.	Abiatu segura, disk lokal zifratze, Windows Hello ziurtagiria.	Aplikatibo zifratze, DevOps sekretuak, barne-ziurtagiriak ez-kritikonak.
Herriak osoa kostearen posesioa	8 000 € etik 80 000 € gailu-eko + mantentze + auditoria. Mutualizagarri hodeia bidez (€/ordu).	Kosteen gainkera (dagoenekoa 99% laneko PC post-2016etan).	Doakoa kode irekian; ~0,03 $/gakoa/hilabete SaaS kudeaturian (AWS KMS, Azure Key Vault).

Maiz egindako galdeak — HSM

Zer da HSM eta TPM artean desberdintza?: TPM (Trusted Platform Module) puxka bat likidatu ordenagailuaren txartel-nagusian edozein ordenagailuetan laneko moderno — helburua abiatzea sintzea, disk zifratze (BitLocker) eta makina bakarra moduan identifikatzea. HSM (Hardware Security Module) kaxa autonomo bat da enpresakoaren zifratze-gakoen kudeaketak dedikatu — helburua eIDAS kalifikatutako dokumentu-sinadura egitea, ziurtagiri-agintza baten erra ostaldu, edo banku zifratze-gakoak babesta. TPMa euroar batzuk ordenagailuko; HSM batek euroar milaka etik ehun milaka ditu, eta entzutandako ezberdintasuna da nagusiei sailean baino.
HSM zifratze benetan haustezina al da?: Ez dago babesa absolutua, baina HSM zifratzea da gaur egun hardware babespen handienaren maila eskuraguena. FIPS 140-3 2. maila zaintza ziurtatua edo Common Criteria EAL4+ kanalaurreko erasoei aurre egiten dituzte (kontsumoa analisa, emanazio elektromagnetikoak), fault injection erasoei (tentsioa edota tenperatura-trubada), eta automatikoki gakoak ezabatzen dituzte kaxa irekitzean (eraso-erantzuna). Ez da kasurik dokumentatua HSM batek asetzea operazioa guztiz ondoan sarean egungo hamarko urteen baitan.
HSM erosi behar dut kalifikatutako sinadura elektronikoa erabili?: Ez, konfiantza-zerbitzuen prestatari zure burua baldin bazara. QES sinatzeagate, zure gako pribatua QTSP kalifikatuaren (Universign, Certinomis, LuxTrust, eta beren laguntza Certyneo) HSMa hartzen da europar Trusted List eIDAS amaitzen dena. Ez duzu HSMa zuzenean ikusi — autentikazio sendo (puxka txartel edo Remote QES MFA + biometria eIDAS 2.0tik) bidez elkarlanean.
Zer da HSM eta KMS artean desberdintza?: KMS (Key Management Service) zerbitzua software bat da zifratze-gakoen ziklo osoa gida duen — sortaraztea, biraketa, artxibatzea, auditoria. HSM hardware osagaia da fisikoak zintzo eragiketa kriptografikoak exekutatzen duen gako horientzat. Bi hartu ez ezberdintasuna: KMS ondo batek HSMa atzetik asko apoya (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM). KMS puro softwarea (HSMrik gabe) asetzea baita barruko erabili-kasuetan ez-kritikoetan araubide-esigintza baina ez datza PCI-DSS, eIDAS QES edo HIPAA HSMaren hartzeko.
Nor dira HSM fabrikatzaile nagusiak 2026an?: HSM merkatu dominatua bost fabrikatzailearengandik: Thales (Luna eta payShield sailak, historian lider), Utimaco (CryptoServer, europako QTSP asko hornitzaile), Atos Eviden (Trustway Proteccio, ANSSI Indartuak kalifikazioa), Marvell LiquidSecurity (HSM hodeia ama AWS eta Azure) eta Entrust nShield. Hiperscale bat bere nori dute: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. eIDAS kalifikatutako sinadura, erabaki-kritikoa da Common Criteria EAL4+ EN 419 221-5 Protection Profile hartuta.
HSM hodeia mailan alokatu daiteke beharrean erosteagatik?: Bai. AWS CloudHSM, Azure Dedicated HSM eta Google Cloud HSM HSM dedikatu errenteak ziurtatuta FIPS 140-2 3. maila (tipikoan 1 eta 3 €/ordu artean). eIDAS kalifikatutako sinadura, ez datza soilik nahikoa — QTSP kalifikatua behar da prestatari bere nori HSM operazioa eta europar Trusted List amaitzen dena. HSM hodeia abantaila elastikotasuna da (ez CAPEX, ez mantentze fisikoa), hiperscale batena amerikan dependentzia prezioan (gaia sentsia hodeia Legea eta europar izaera askatasunaren aspektutik).
Nola zintzo sinadura prestatari bat benetan HSM ziurtatua erabiltzen dute?: Prestatari bat europar Trusted List eIDAS amaitu behar da (https://eidas.ec.europa.eu/) QTSP (Qualified Trust Service Provider). Inskripzioa soilik ematen dago auditorean dute duen organismo akreditatu batek (Frantzian LSTI/COFRAC, Alemaniar TÜV) zintzo gainera HSM erabiltzen du araubideak EU 419 221-5 eta EN 419 241-2 (Remote QES eIDAS 2.0tik). Gainera, eskakizun prestatari common Criteria ziurtagiri-zenbakia HSM erabili — QTSP bat osa batek argitaratzen ditu bere teknikoa dokumentazioa.

Aurrera jarraitzeagate

Gomendatutako artikuluak

Zure sinatutako dokumentuak TLS zifraketak babestea

TLS zifraketa aurreztezina bihurtu da elektronikoki sinatutako dokumentuak babesteko. Aurkitu zure dokumentazio-fluxuak eIDAS bateragarritasunean aseguratzearen praktika onena.

9 min

Chiffratzea bukotik bukora: esanahia eta seguritatea

Bukotik bukora chiffratzea elektronikoki sinatutako dokumentuen pribatutasunaren oinarri teknologikoa da. Bere funtzionamenduaren ulertzea zure kontratuen truke segurua kudeatzea esan nahi du.

8 min

HSM vs TPM: zer da diferentzia eta zein aukeratu?

HSM eta TPM bi segurtasun-teknologia materialak dira, askotan nahastuak baina rola oso desberdina dutenak. Ikusi nola aukeratu modulu egokia zure beharren arabera.

8 min

HSM Enkriptazioa: funtzionamendua eta gako pribatuak (2026)

HSM enkriptazioa firma elektroniko kalifikatuaren oinarri ikusezina da. Bere funtzionamendua ulertzea zure enpresan kriptografia seguritatea menperatzea da.

9 min

Kalifikatutako sinadura HSMa atxiki nahi?

Certyneoak apoya egiten du Common Criteria EAL4+ ziurtatutako HSMak QTSP kalifikatuak operazioa europar Trusted List eIDAS amaitzen dena. QES 9,90 €/ekintzaren Standard plantik aurrera.

Doakoa abiatu Ikusi QES eskaintza