מה ההבדל בין HSM ל-PMT?

טפ"מ (Trusted Platform Module) הוא שבב שנחבר על לוח האם של כמעט כל המחשבים המקצועיים המודרניים. הוא משמש לחיגור ההתחלה, להגדיר את הדיסק (BitLocker) ולהזהה מכונה באופן ייחודי. ה-HSM (Hardware Security Module) הוא תיבה עצמאית המוקדשת לניהול מפתחות קריפטוגרפיים של חברה. הוא משמש לחתום על מסמכים ברמה המקצועית של eIDAS, לאחסן את שורש רשות אישור, או להגן על מפתחות הצפנה.

האם הצפנה של ה-HSM באמת בלתי ניתנת לפריצה?

אין הגנה מוחלטת, אך הצפנה HSM היא כיום הרמה הגבוהה ביותר של הגנה חומרית זמינה. HSMs המוסמכים לפי FIPS 140-3 רמה 3 או Criteria Common EAL4+ עמידים בפני התקפות דרך ערוץ עזר (ניתוח צריכת חשמל, פליטות אלקטרומגנטיות), נגד התקפות באמצעות זריקת שגיאות (פרעות מתח או טמפרטורה), ומפעילים קריאת מפתחות אוטומטית כאשר התיבה נפתחת פיזית (תגובה טמפר).

האם צריך לקנות HSM כדי להשתמש בחתימה אלקטרונית מוכשרת?

לא, אלא אם כן אתה מעניק שירותי אמון בעצמך. כדי לחתום ב- QES, המפתחות הפרטיים שלך מאוחסנים ב- HSM של QTSP מוסמך (Universign, Certinomis, LuxTrust, ושותפיהם כמו Certyneo) המופיע ברשימת האמון של eIDAS האירופית. אתה אף פעם לא רואה את ה- HSM ישירות אתה מתקשר איתו באמצעות אימות חזק (כרטיס חכם או QES מרחוק באמצעות MFA + ביומטריה מאז eIDAS 2.0).

מה ההבדל בין HSM ל-KMS?

שירות ניהול מפתחות (KMS) הוא שירות תוכנה שמאפיין את מחזור החיים של מפתחות קריפטוגרפיים (יצירת, סיבוב, ארכיון, בדיקה). HSM הוא הרכיב החומרי המבצע פיזית את הפעולות קריפטוגרפיות על המפתחות. השניים אינם מתחרים: KMS רציני מסתמך על HSM ברקע (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM).

מהן היצרניות העיקריות של HSM ב-2026?

שוק ה-HSM נשלט על ידי חמישה יצרנים: Thales (סוגים של Luna ו- payShield, המוביל ההיסטורי), Utimaco (CryptoServer, ספקית QTSP אירופאי רב), Atos Eviden (Trustway Proteccio, אישור ANSSI משוחח), Marvell LiquidSecurity (HSM ענן ילידי עבור AWS ו- Azure) ו- Entrust nShield. היפרסקלרים מציעים את ההצעות המשותפות שלהם: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. עבור חתימה מוכשרת eIDAS, הקריטריון המכריע הוא אישור Common Criteria EAL4+ עם פרופיל ההגנה EN 419 221-5.

האם אפשר לשכור מנוע ממוחשבים ממוחשבים בענן במקום לקנות אותו?

כן. AWS CloudHSM, Azure Dedicated HSM ו- Google Cloud HSM שוכרים HSMs ייעודיים מוסמכים FIPS 140-2 רמה 3 (בדרך כלל בין 1 ל 3 € / שעה). עבור חתימה אישית אישית, הצעות אלה אינן מספיקות בכוחות עצמן אתה צריך QTSP מוסמך הפועל HSM שלו והוא רשום ברשימת האמון האירופית. היתרון של HSM ענן הוא גמישות (לא CAPEX, לא תחזוקה פיזית), במחיר של תלות על היפרסקלר אמריקאי לעתים קרובות (נושא רגיש מבחינת חוק הענן והריבונות הדיגיטלית האירופית).

איך אפשר לוודא שעסקני חתימה באמת משתמשים ב-HSM מוסמך?

המוסד חייב להיות רשום ברשימת האמון האירופית של eIDAS (https://eidas.ec.europa.eu/) כ-QTSP (Qualified Trust Service Provider). הרשמה זו ניתנת רק לאחר ביקורת על ידי גוף מוסמך (בצרפת LSTI/COFRAC, בגרמניה TÜV) אשר בודק בין היתר את התאימות של ה-HSM המשמשת עם תקני EN 419 221-5 ו-EN 419 241-2 (Remote QES מאז eIDAS 2.0). בנוסף, בקש מהספק את מספר האישור המשותף של ה-HSM שלו QTSP רציני מפרסם את זה במסמכים הטכניים שלו.

קריפטוגרפיה חומרית · FIPS 140-3 · CC EAL4+

HSM (מודל אבטחת חומרה): למה ומתי להשתמש בו

מודול אבטחה חומרי (Hardware Security Module) הוא מכשיר אלקטרוני בלתי פוגע, אשר מייצר, מאחסן ומשתמש במפתחות קריפטוגרפיים מבלי להציג אותם בבירור מחוץ לקופסה. זהו הרכיב החומרי המאפשר חתימה אלקטרונית מוכשרת (QES) לפי תקנות eIDAS, הצפנה מפתח ציבורי (PKI), שורש האמון של רשות אישור (CA), ובאופן רחב יותר כל מערכת קריפטוגרפית הדורשת ערבות של אי פגיעה פיזית ולוגית. מדריך פיזי זה מסביר באופן מוחשי מה זה HSM, למה הוא משמש, כיצד הוא מאושר (FIPS 140-2, FIPS 140-3, Criteria EAL4), והוא שונה מ- TMS או KPM.

מה זה HSM, באופן ספציפי?

HSM הוא תיבה חומרית (רקט 1U, כרטיס PCIe, מפתח USB או מכשיר רשת) המבצעת פעולות קריפטוגרפיות (יצור מפתחות, חתימה, הצפנה, פירור, האשה) בתוך אזור פיזי חתום. המפתחות הפרטיים לעולם לא עוזבים את HSM: כל ניסיון של מיקוי פיזי גורם לחיסול מיידי (תגובה טמפר). התיבה תוכננה לעמוד בפני התקפות על ידי ערוץ עזר (ניתוח צריכת חשמל, פליטות אלקטרומגנטיות, הפרעות מתח), התקפות על ידי ההפכה של ביטים (זרקת שגיאה) וביט במקרוסקופ אלקטרוני.

באופן ספציפי, יישום שרוצה לחתום על מסמך שולח את ה-SHA-256 של המסמך דרך API סטנדרטי (PKCS#11, KMIP, CNG, JCE). ה-HSM חותם על ההש עם מפתח פרטי המתגורר אך ורק במתחם שלו, ואז מחזיר את החתימה. המסמך החותם מכיל את החתימה והסמכת הציבורית המתאימה, אך המפתח הפרטי נשאר מוגנת באופן בלתי פוגע. זה מה שמבדיל בין חתימה מיומנת eIDAS (QES, מבוססת על HSM מובילה) לבין חתימה פשוטה (SES, ללא מכשול חומרי) או מתקדמת (AES, מפתח מבוסס על החותם).

חמש שימושים בהם ה-HSM חיוני

ה-HSM אינו נוחות ציבורית כללית: הוא נדרש ברגע שהחוק, הסטנדרט או החוזה דורשים ערבות חומרית של אי-הגעות למפתחות.

חתימה מיומנת eIDAS (QES)

תקנת eIDAS האירופית (EU 910/2014) דורשת שהחתמה המקצועית תורם על ידי מכשיר יצירת חתימה מקצועית (QSCD) מוסמך ב בפועל, HSM מוסמך ב-EN 419 221-5 או Common Criteria EAL4+. זה HSM של ספק שירות אמון מיומן (QTSP) שמאחסן את המפתח הפרטי של החותם ומבצע את החתימה.

הצפנה של נתונים רגישים

ה-HSM מנהלים מפתחות קידוד מפתח (KEK) שמדביקים את מפתחות ההצפנה של מסד הנתונים, דיסקות (BitLocker, LUKS) או גיבויים. מקרה טיפוסי: תאימות PCI-DSS עבור מעבדי תשלום, HIPAA / HDS עבור נתונים רפואיים, סוד הגנה עבור רשויות.

רשות אישור (PKI)

כל רשת רשת, רשת ביניים או רשת מסמכים משתמשת ב-HSM כדי לייצר ולהשתמש במפתח החותם על תעודות X.509. המפתח הרשת של רשת ציבורית (Let's Encrypt, DigiCert, Sectigo) או רשת פרטית (Active Directory CS, ADFS) חייב להתגורר ברשת רשת מסמכה.

ניהול מפתחות קריפטוגרפיים (KMS)

פלטפורמות הענן (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM) מציעות HSM משותפות או ייעודיות לניהול מחזור החיים המלא של המפתחות: יצירת, סיבוב, נגזרת, ארכיון, השמדה. היתרון לעומת KMS תוכנה טהורה: הוכחה של אי-הפרה נגד רגולטורים וראשי חשבון.

שורש TLS וסיטואציות שרת קריטיות

תעודות TLS של תשתיות קריטיות (שערות בנקאות, חתימת קוד תוכנה, שורש CA של יצרני IoT) מוגנות על ידי HSM. ה- HSM חותם על תעודות היציאה מבלי לחשוף את המפתח השורש אפילו במקרה של פגיעה מלאה של השרת המארח.

הסמכות ל-HSM: מה שאתה צריך לדעת

לא כל ההסמכות בעלות ערך זהה. רמת ההסמכה קובעת את התקנות שבהן השימוש ב-HSM מאפשר הזכות (eIDAS QSCD, PCI-DSS HSM, חוזים סודיים להגנה).

פיפס 140-2 ופיפס 140-3 (NIST, ארה"ב)

FIPS 140-2 (שפורסם בשנת 2001, הוסר מהקטלוג הפעיל בשנת 2026) ומחליףו FIPS 140-3 (בכוח מאז 2019, חובה למוצרים חדשים מאז 2024) מגדירים 4 רמות אבטחה. רמה 3 (מפתחות שנמחקו אם האנקלה פתוחה) היא המינימום עבור PKI בנקאי וציבורי; רמה 4 (התנגדות לתקיפות ערוץ עזר ושינויים בסביבה) נדרשת עבור שימוש מסוים בחשאי הגנה.

קריטריונים משותפים EAL4+ (ISO/IEC 15408, בינלאומי)

קוונקרטיריה היא הסטנדרט הבינלאומי להערכה של אבטחת מוצרי IT. עבור ה-HSM, רמת הקריטריאה המשותפת EAL4+ עם פרופיל ההגנה EN 419 221-5 נדרשת על ידי תקנות eIDAS עבור מכשירים יצירת חתימה מיומנת (QSCD). זה מה שמשמש את ספקי האמון המיומנים האירופיים (QTSP).

ETSI EN 319 411 ו-319 412 (אירופה)

תקני ETSI קובעים את הדרישות הטכניות של ספק שירות אמון מוסמך (QTSP) לפי eIDAS כולל השימוש ב- HSMs מוסמכים על ידי EN 419 221-5.

ANSSI (צרפת) ו- BSI (גרמניה)

האנסי (ANSSI) מפרסם מדד אבטחה כללי (RGS) ומעניק כישורים סטנדרט ו- משוחז עבור מוצרי קריפטוגרפיה. הבסי הגרמני מפרסם אישורים שווה ערך (CSPN, BSI-TR). הממשלות הציבוריות הלאומיות יכולות לדרוש כישורים לאומיים אלה בנוסף לאישורים האירופיים.

ה-HSM נגד TPM נגד KMS תוכנה איזו פתרון לבחור?

הבחירה הנכונה תלויה בערך המפתחות הנחוצים, במגבלות רגולטוריות ובתיקון. הנה שישה מימדים שמכוונים את ההחלטה.

מידה	ה-HSM	TPM	תוכנת KMS
מטרה	הגנה על מפתחות קריפטוגרפיים של ארגון ותשתית (QES, PKI, KMS).	חותם את ההתחלה וזיהוי המכונה (BitLocker, תעודת TPM 2.0) מפתח אחד לכל מכונה.	מרכז את מחזור החיים של המפתחות בזיכרון/דיסק, ללא בידוד חומרי.
מחיר קריפטוגרפי	כמה אלפי חתימות RSA-2048 לשנייה (דגמים יוקרתיים: 25,000+ סיג/שנייה).	כמה חתימות לשנייה	מוגבל על ידי המעבד המארח (לעיתים קרובות < 1000 סיג/שנייה עבור RSA-2048).
אישור רגולטורי	FIPS 140-2/3, Common Criteria EAL4+, EN 419 221-5 (QSCD eIDAS) - כל התוכניות המובילות במערכת המערכת הן:	קוויטריה משותפת EAL4+ ל- TPM 2.0 (מייקרוסופט פלוטון, גוגל טיטאן).	אין אישור חומרי. איזו 27001 של הספק הטוב ביותר.
צורה חומרית	תיבה רוק 1U-2U, כרטיס PCIe, כונן USB קשיח, או מכשיר רשת ייעודי.	שבב מלוות על לוח האם (TPM 2.0) או מדומה (vTPM). כמה יורו למכונה.	חינם (HashiCorp Vault, OpenStack Barbican) או SaaS (AWS KMS ללא CloudHSM).
מקרה שימוש טיפוסי	חתימה אישית אישית, שורש PKI, תאימות PCI-DSS, סוד הגנה.	התחלה בטוחה, הצפנה של הכונן המקומי, אישור Windows Hello.	חיבורים עם יישומים, סודות DevOps, תעודות מבפנים לא קריטיות.
כל עלות החזקת	8,000 € עד 80,000 € לכל מכשיר + תחזוקה + ביקורת. ניתן לחלוק באמצעות הענן (€ / שעה).	עלות מרגלית (כבר על 99% של PC מקצועי לאחר 2016).	חינם במקור פתוח; ~ 0.03 $/מפתח/חודש ב-SaaS מנוהל (AWS KMS, Azure Key Vault).

שאלות תדירות HSM

מה ההבדל בין HSM ל-PMT?: טפ"מ (Trusted Platform Module) הוא שבב שנחבר על לוח האם של כמעט כל המחשבים המקצועיים המודרניים. הוא משמש לחיגור ההתחלה, להגדיר את הדיסק (BitLocker) ולהזהה מכונה באופן ייחודי. ה-HSM (Hardware Security Module) הוא תיבה עצמאית המוקדשת לניהול מפתחות קריפטוגרפיים של חברה. הוא משמש לחתום על מסמכים ברמה המקצועית של eIDAS, לאחסן את שורש רשות אישור, או להגן על מפתחות הצפנה.
האם הצפנה של ה-HSM באמת בלתי ניתנת לפריצה?: אין הגנה מוחלטת, אך הצפנה HSM היא כיום הרמה הגבוהה ביותר של הגנה חומרית זמינה. HSMs המוסמכים לפי FIPS 140-3 רמה 3 או Criteria Common EAL4+ עמידים בפני התקפות דרך ערוץ עזר (ניתוח צריכת חשמל, פליטות אלקטרומגנטיות), נגד התקפות באמצעות זריקת שגיאות (פרעות מתח או טמפרטורה), ומפעילים קריאת מפתחות אוטומטית כאשר התיבה נפתחת פיזית (תגובה טמפר).
האם צריך לקנות HSM כדי להשתמש בחתימה אלקטרונית מוכשרת?: לא, אלא אם כן אתה מעניק שירותי אמון בעצמך. כדי לחתום ב- QES, המפתחות הפרטיים שלך מאוחסנים ב- HSM של QTSP מוסמך (Universign, Certinomis, LuxTrust, ושותפיהם כמו Certyneo) המופיע ברשימת האמון של eIDAS האירופית. אתה אף פעם לא רואה את ה- HSM ישירות אתה מתקשר איתו באמצעות אימות חזק (כרטיס חכם או QES מרחוק באמצעות MFA + ביומטריה מאז eIDAS 2.0).
מה ההבדל בין HSM ל-KMS?: שירות ניהול מפתחות (KMS) הוא שירות תוכנה שמאפיין את מחזור החיים של מפתחות קריפטוגרפיים (יצירת, סיבוב, ארכיון, בדיקה). HSM הוא הרכיב החומרי המבצע פיזית את הפעולות קריפטוגרפיות על המפתחות. השניים אינם מתחרים: KMS רציני מסתמך על HSM ברקע (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM).
מהן היצרניות העיקריות של HSM ב-2026?: שוק ה-HSM נשלט על ידי חמישה יצרנים: Thales (סוגים של Luna ו- payShield, המוביל ההיסטורי), Utimaco (CryptoServer, ספקית QTSP אירופאי רב), Atos Eviden (Trustway Proteccio, אישור ANSSI משוחח), Marvell LiquidSecurity (HSM ענן ילידי עבור AWS ו- Azure) ו- Entrust nShield. היפרסקלרים מציעים את ההצעות המשותפות שלהם: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. עבור חתימה מוכשרת eIDAS, הקריטריון המכריע הוא אישור Common Criteria EAL4+ עם פרופיל ההגנה EN 419 221-5.
האם אפשר לשכור מנוע ממוחשבים ממוחשבים בענן במקום לקנות אותו?: כן. AWS CloudHSM, Azure Dedicated HSM ו- Google Cloud HSM שוכרים HSMs ייעודיים מוסמכים FIPS 140-2 רמה 3 (בדרך כלל בין 1 ל 3 € / שעה). עבור חתימה אישית אישית, הצעות אלה אינן מספיקות בכוחות עצמן אתה צריך QTSP מוסמך הפועל HSM שלו והוא רשום ברשימת האמון האירופית. היתרון של HSM ענן הוא גמישות (לא CAPEX, לא תחזוקה פיזית), במחיר של תלות על היפרסקלר אמריקאי לעתים קרובות (נושא רגיש מבחינת חוק הענן והריבונות הדיגיטלית האירופית).
איך אפשר לוודא שעסקני חתימה באמת משתמשים ב-HSM מוסמך?: המוסד חייב להיות רשום ברשימת האמון האירופית של eIDAS (https://eidas.ec.europa.eu/) כ-QTSP (Qualified Trust Service Provider). הרשמה זו ניתנת רק לאחר ביקורת על ידי גוף מוסמך (בצרפת LSTI/COFRAC, בגרמניה TÜV) אשר בודק בין היתר את התאימות של ה-HSM המשמשת עם תקני EN 419 221-5 ו-EN 419 241-2 (Remote QES מאז eIDAS 2.0). בנוסף, בקש מהספק את מספר האישור המשותף של ה-HSM שלו QTSP רציני מפרסם את זה במסמכים הטכניים שלו.

כדי להמשיך הלאה.

מאמרים מומלצים

אבטחת המסמכים החתומים שלך עם הצפנת TLS

הצפנת TLS הפכה הכרחית להגנה על המסמכים החתומים שלך בחתימה אלקטרונית. גלה את העקרונות המומלצים ביותר לאבטחת זרימות המסמכים שלך בהתאם ל-eIDAS.

9 min

הצפנה מקצה לקצה: משמעות וביטחון

הצפנה מקצה לקצה היא העמוד השדרה הטכנולוגי של סודיות המסמכים החתומים בחתימה אלקטרונית. הבנת תפקודה משמעה שליטה בביטחון של החלפות החוזים שלך.

8 min

HSM vs TPM: מה ההבדל ואיזה לבחור?

HSM ו-TPM הן שתי טכנולוגיות של אבטחה חומרונית המבולבלות לעתים קרובות, אך בעלות תפקידים מובחנים מאוד. גלו כיצד לבחור את המודול הנכון לפי הצרכים שלכם.

8 min

הצפנת HSM: תפקוד ומפתחות פרטיים (2026)

הצפנת HSM היא הבסיס הבלתי נראה של כל חתימה אלקטרונית מוסמכת. הבנת תפקודה משמעה שליטה בביטחון קריפטוגרפי של החברה שלך.

9 min

צריך חתימה מוכשרת עם HSM?

Certyneo מבוסס על HSMs מאושרים על פי הקריטריונים המשותפים EAL4+ המופעלים על ידי QTSP מוסמך המופיע ברשימת eIDAS המאמינה של אירופה.

התחלה בחינם ראה את הצעת ההצעה של ה- QES