HSM (Hardware Security Module)

یک HSM (Hardware Security Module، ماژول امنیت سخت‌افزاری) یک تجهیز سخت‌افزاری تنگ‌بندی‌شده است که برای تولید، نگهداری و استفاده ایمن کلیدهای رمزنگاری اختصاص‌یافته است. HSM عملیات رمزنگاری (امضا، رمزگشایی، تولید کلید) را بدون هرگز افشای کلید خصوصی انجام می‌دهد — کلید در داخل محدوده سخت‌افزاری باقی می‌ماند، توسط اقدام‌های مقابلهی فیزیکی محافظت‌شده (حسگرهای ضد نفوذ، حذف خودکار در هر تلاش برای باز کردن).

گواهی‌های HSM: برای واجد‌شرایط شدن براساس مقررات eIDAS، یک HSM باید استانداردهای سخت‌گیرانه‌ای را رعایت کند — FIPS 140-2 سطح 3 یا FIPS 140-3 سطح 3+ (استاندارد آمریکایی NIST)، و/یا Critères Communs EAL4+ (استاندارد اروپایی). HSM‌های گواهی‌شده Critères Communs برای میزبانی کلیدهای امضای واجد‌شرایط (QES) و کلیدهای مهرزمانی واجد‌شرایط واجد‌شرایط هستند. فهرست اعتماد اروپایی (EU Trusted List) HSM‌های مجاز برای هر ارائه‌دهنده واجد‌شرایط را نام‌برده است.

HSM ابری در مقابل HSM فیزیکی: تاریخی‌اً HSM‌ها دستگاه‌های اختصاص‌یافته‌ای بودند که در مرکز داده خصوصی نصب می‌شدند. تأمین‌کنندگان ابری اکنون HSM‌های مشترک یا اختصاص‌یافته را در SaaS پیشنهاد می‌دهند — AWS CloudHSM، Azure Dedicated HSM، Google Cloud HSM، اما همچنین HSM‌های ملی که توسط QTSP‌های اروپایی عملیاتی هستند. مقررات eIDAS 2.0 به‌طور صریح HSM‌های ابری را برای امضای واجد‌شرایط از راه دور به رسمیت می‌شناسد.

HSM و رمزنگاری (« رمزنگاری HSM »): فراتر از امضا، HSM‌ها کلیدهای رمزنگاری پایگاه‌داده، کلیدهای رمزنگاری دیسک (BitLocker، FileVault، LUKS)، کلیدهای ریشه PKI داخلی، و اسرار کاربردی را محافظت می‌کنند. چرخش، پشتیبان‌گیری و لغو کلید‌ها از طریق PKCS#11 یا رابط‌های اختصاصی مدیریت می‌شوند.

پیاده‌سازی Certyneo: کلیدهای رمزنگاری امضای از راه دور در HSM‌های Critères Communs EAL4+ که توسط ارائه‌دهنده خدمات اعتماد واجد‌شرایط (QTSP) عملیاتی هستند، میزبانی می‌شوند. هیچ کلید خصوصی هرگز برای Certyneo یا میزبان آن قابل‌دسترس نیست — هر عملیات امضا از طریق احراز هویت قوی امضاکننده و یک فراخوانی API به HSM عبور می‌کند، که امضا را بدون افشای کلید برمی‌گرداند. همچنین QSCD و امضای ابری را ببینید.