HSM (Hardware Security Module)
Määritelmä
HSM-sertifikaatit : eIDAS-asetuksen mukaisesti pätevän HSM:n on noudatettava tiukkoja standardeja — FIPS 140-2 taso 3 tai FIPS 140-3 taso 3+ (NIST:n amerikkalainen standardi) ja/tai Common Criteria EAL4+ (eurooppalainen standardi). Common Criteria -sertifioidut HSM:t ovat kelpoisia isännöimään pätevän allekirjoituksen (QES) avaimia ja pätevän aikaleiman avaimia. EU:n luottamusluettelo (EU Trusted List) luettelee kunkin pätevän toimittajan osalta valtuutetut HSM:t.
HSM pilvi vs fyysinen HSM : historiallisesti HSM:t olivat yksityiseen datakeskukseen asennettuja omistettuja laitteita. Pilvipalveluntarjoajat tarjoavat nyt jaettuja tai omistettuja HSM:iä SaaS-mallissa — AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, sekä eurooppalaisilla QTSP:llä operoitavat kansalliset HSM:t. eIDAS 2.0 -asetus tunnustaa nimenomaisesti pilvi-HSM:t etäpätkevään allekirjoitukseen.
HSM ja salaus (« HSM encryption ») : allekirjoituksen lisäksi HSM:t suojaavat tietokantojen salausavaimia, levyn salausavaimia (BitLocker, FileVault, LUKS), sisäisen PKI:n juuriavaimia ja sovellusrahasioita. Avainten kierto, varmuuskopiointi ja peruuttaminen hallitaan PKCS#11:n tai omien liittymien kautta.
Certyneo-käyttöönotto : etäallekirjoitukseen käytettävät kryptografiset avaimet isännöidään Common Criteria EAL4+ -sertifioitujen HSM:ien avulla, joita operoi meidän pätevä luottamuspalvelun tarjoaja (QTSP). Mitään yksityistä avainta ei ole koskaan käytettävissä Certyneolle tai sen isännöijälle — jokainen allekirjoitus operaatio edellyttää allekirjoittajan vahvaa todentamista ja API-kutsua HSM:lle, joka palauttaa allekirjoituksen paljastamatta avainta. Katso myös QSCD ja pilvi-allekirjoitus.
Usein kysyttyjä kysymyksiä
Mikä on HSM (Hardware Security Module)?
HSM on omistettu ja säilymätön laitteistolaite, joka luo, säilyttää ja käyttää kryptografisia avaimia sertifioidun laitteiston sisällä. Yksityiset avaimet eivät koskaan poistu moduulista selvästi, mikä tekee HSM:istä pätevien sähköisten allekirjoitusten ja leiman perustan.
Mihin HSM:ää käytetään?
Allekirjoitusalustan sisällä HSM isännöi allekirjoitusavaimia ja suorittaa kryptografisen operaation itse: avaimen materiaalia ei koskaan altisteta sovelluspalvelimelle. HSM:itä käytetään myös TLS-avainten, PKI-sertifikaattiviranomaisten, maksujen ja tietokantojen salauksen suojaamiseen.
Mitä eroa on HSM:n ja ohjelmistopohjaisessa avaintallennuksessa?
Ohjelmistopohjainen avainvarasto säilyttää avaimet palvelimen muistissa tai levyllä, missä yksittäinen turvallisuusloukkaus mahdollistaa niiden kopioinnin. HSM säilyttää avaimet sertifioidussa ja säilymättömässä laitteistossa (FIPS 140-2/3, Common Criteria EAL4+) ja paljastaa vain allekirjoitus- tai salauksen purkamisoperaatiot, ei koskaan avaimia itsessään.
Onko HSM pakollinen pätevään elektroniseen allekirjoitukseen (eIDAS)?
Kyllä. eIDAS-asetuksen mukaan pätevä elektroninen allekirjoitus on luotava pätevällä allekirjoituksen luomislaitteella (QSCD). Käytännössä QSCD on sertifioitu HSM, jota ylläpitää pätevä luottamuspalvelun tarjoaja ja joka suojaa allekirjoittajan avainta korkeimmalla sääntelyssä vaaditulla tasolla.
Mikä on cloud HSM?
Cloud HSM on sertifioitu laitemoduuli, joka toimitetaan hallittuna palveluna: organisaatio hyötyy HSM-tason avainten suojauksesta ilman, että omistaa laitteistoa itse. Etäpätevä allekirjoitus perustuu luottamuspalvelun tarjoajan omistamiin cloud HSM -moduuleihin.
Liittyvät oppaat
Aiheeseen liittyvät termit
Valmis soveltamaan näitä käsitteitä käytäntöön?
Certyneon avulla voit luoda eIDAS-yhteensopivia allekirjoituskuoria muutamalla klikkauksella, ilman asennusta.