HSM (Hardware Security Module)
הגדרה
הסמכות HSM : כדי להיות מוסמך על פי תקנון eIDAS, HSM חייב לעמוד בתקנים קפדניים — FIPS 140-2 רמה 3 או FIPS 140-3 רמה 3+ (תקן אמריקאי של NIST), ו/או Common Criteria EAL4+ (תקן אירופאי). HSM מסומכים Common Criteria זכאים להנפיק מפתחות חתימה מוסמכת (QES) ומפתחות חתימת זמן מוסמכת. רשימת האמון האירופאית (EU Trusted List) מתייחסת ל-HSM המורשים לכל ספק שירות מוסמך.
HSM ענן לעומת HSM פיזי : בעבר HSM היו מכשירים ייעודיים המותקנים במרכזי נתונים פרטיים. ספקי ענן מציעים כעת HSM משותפים או ייעודיים ב-SaaS — AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, אך גם HSM לאומיים המופעלים על ידי QTSP אירופאיים. תקנון eIDAS 2.0 מכיר במפורש ב-HSM ענן לחתימה מוסמכת מרחוק.
HSM והצפנה ("HSM encryption") : מעבר לחתימה, HSM מגנים על מפתחות הצפנה של מסדי נתונים, מפתחות הצפנת דיסק (BitLocker, FileVault, LUKS), מפתחות שורש של PKI פנימי, וסודות אפליקציה. סיבוב, גיבוי וביטול מפתחות מנוהלים דרך PKCS#11 או ממשקים קניין.
יישום Certyneo : מפתחות קריפטוגרפיים של חתימה מרחוק מתארחים ב-HSM Common Criteria EAL4+ המופעלים על ידי ספק שירותי אמון מוסמך שלנו (QTSP). לעולם לא יהיה מפתח פרטי נגיש ל-Certyneo או לאחסון שלו — כל פעולת חתימה עוברת דרך אימות חזק של החותם וקריאת API ל-HSM, המחזירה את החתימה מבלי לחשוף את המפתח. ראה גם QSCD וחתימה ענן.
שאלות נפוצות
מה זה HSM (Hardware Security Module)?
HSM הוא ציוד חומרה ייעודי ובלתי מפיץ היוצר, מאחסן ומשתמש במפתחות קריפטוגרפיים בתוך חומרה מסומכת. מפתחות פרטיים לעולם לא עוזבים את המודול בצורה ברורה, מה שהופך HSM ל-foundation של אמון לחתימות ותיוגי זמן אלקטרוניים מוסמכים.
למה משמש HSM?
בתוך פלטפורמת חתימה, HSM מארח את מפתחות החתימה ומבצע בעצמו את הפעולה הקריפטוגרפית: חומר המפתח לעולם לא חשוף לשרת האפליקציה. HSM משמש גם להגנה על מפתחות TLS, רשויות הסמכה של PKI, תשלומים והצפנת בסיסי נתונים.
מה ההבדל בין HSM לאחסון תוכנה של מפתחות?
מאגר מפתחות תוכנה משמר מפתחות בזיכרון או בדיסק של שרת, כאשר התפשטות יחידה מאפשרת להעתיק אותם. HSM משמר מפתחות בחומרה מסומכת ובלתי מפיץ (FIPS 140-2/3, Common Criteria EAL4+) ולעולם לא חושף אלא פעולות חתימה או פענוח, לעולם לא את המפתחות עצמם.
האם HSM חובה לחתימה אלקטרונית מוסמכת (eIDAS)?
כן. על פי תקנון eIDAS, חתימה אלקטרונית מוסמכת חייבת להיווצר באמצעות התקן יצירת חתימה מוסמך (QSCD). בפועל, QSCD זה הוא HSM מוסמך המופעל על ידי ספק שירותי אמון מוסמך, המגן על מפתח החותם ברמה הגבוהה ביותר הנדרשת על ידי התקנות.
מהו HSM בענן?
HSM בענן הוא מודול חומרה מוסמך המסופק כשירות מנוהל: הארגון מקבל הגנה על מפתחות ברמת HSM ללא הפעלת החומרה בעצמו. חתימה מוסמכת מרחוק מסתמכת על HSM בענן בבעלות ספק שירותי אמון.
מדריכים קשורים
מונחים קשורים
מוכנים ליישם את המושגים האלה?
Certyneo מאפשרת לכם ליצור מעטפות חתימה תואמות eIDAS בכמה קליקים, ללא התקנה.