Hver er munurinn á HSM og TPM?

TPM (Trusted Platform Module) er flís leist á aðal kort næstum allra nútíma faglegra tölva — það er til að innsigla ræsingu, dulkóða disk (BitLocker) og bera kennsl á vél á einstaklingsbundinn hátt. HSM (Hardware Security Module) er sjálfstætt hólf tileinkað stjórnun dulritunarlykla fyrirtækis — það er til að undirrita skjöl á hæfu eIDAS stigi, hýsa rót vottunaraðila, eða vernda bankaflóðun lykla. TPM kostar nokkur evru á vél; HSM kostar margar þúsundir til tugir þúsunda evra, og gerist aðeins skynsamlegt á stigi stofnunar.

Er HSM dulkóðun virkilega óbrjótanleg?

Engin vernd er alger, en HSM dulkóðun er nú degi í dag hæsta stig vélbúnaðar verndunar tiltæk. HSM vottuð FIPS 140-3 stig 3 eða Common Criteria EAL4+ standast árásir á aukakeildir (orku greining, rafsegulbirtingu), árásir með fault injection (spennu eða hitastiga truflanir), og kalla fram sjálfvirka eyðingu lykla ef líkamlegur kostur opnast (tamper response). Engin opinber skaðabót á réttilega reknu HSM hefur verið skjalfest í framleiðslu á síðustu 10 árum.

Þarf ég að kaupa HSM til að nota samhykkta rafræna undirskrift?

Nei, nema þú sért sjálf hæf traust þjónustuveita. Til að undirrita í QES eru einkalyklar þínir hýstir í HSM hæfu QTSP (Universign, Certinomis, LuxTrust, og samstarfsaðila þeirra eins og Certyneo) sem birtast á evrópsku eIDAS trausti. Þú sérð aldrei HSM beint — þú hefur samskipti við það með sterkri auðkenningu (smart kort eða Fjar QES með MFA + andlits þekkingu frá eIDAS 2.0).

Hver er munurinn á HSM og KMS?

KMS (Key Management Service) er hugbúnaðar þjónusta sem orkestra líftíma lykla dulritunar — myndum, snúning, geymslu, endurskoðun. HSM er vélbúnaðar eining sem framkvæmir líkamlega dulritunaragir á þessum lyklum. Þeir tveir eru ekki keppandi : alvarlegt KMS treystir á HSM í bakgrunni (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM). Hreint hugbúnaðar KMS (án HSM) dugar fyrir innri óhæfri notkun en nær ekki PCI-DSS, eIDAS QES eða HIPAA HSM kröfum.

Hverjir eru aðal HSM framleiðendur árið 2026?

HSM markaðir er einkennist af fimm framleiðendum : Thales (Luna og payShield svið, sögulegur leiðtogi), Utimaco (CryptoServer, birgir margra evrópskra QTSP), Atos Eviden (Trustway Proteccio, ANSSI Aukins hæf), Marvell LiquidSecurity (skýja-eðlis HSM fyrir AWS og Azure) og Entrust nShield. Stærri skýjakerfi bjóða sín eigin sameiginlegu tilboð : AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. Fyrir samhykkta eIDAS undirskrift er afgerandi viðmiðun Common Criteria EAL4+ vottun með Protection Profile EN 419 221-5.

Get ég leigt HSM í skýi frekar en að kaupa einn?

Já. AWS CloudHSM, Azure Dedicated HSM og Google Cloud HSM leigja sérstök HSM vottað FIPS 140-2 stig 3 (dæmigert á milli 1 og 3 €/klst). Fyrir samhykkta eIDAS undirskrift duga þessi tilboð ekki ein og sér — þú þarft hæfa QTSP sem rekur sitt eigið HSM og birtast á evrópsku trausti. Kosturinn við skýja HSM er sveigjanlegt (engin CAPEX, engin líkamleg viðhald), gegn ástandi af háðleika við stærri skýjakerfi oft amerískan (viðkvæmt efni hvað varðar Cloud Act og evrópska stafræna fullveldi).

Hvernig get ég sannprófað að undirskrift birgir virkilega nota vottuð HSM?

Birgir verður að birtast á evrópsku eIDAS trausti (https://eidas.ec.europa.eu/) sem QTSP (Qualified Trust Service Provider). Þessi skráning er aðeins gefin út eftir endurskoðun af viðurkenndum aðila (á Íslandi sambærilegt yfirlit, í Þýskalandi TÜV) sem sannreyni sérlega samkvæmni HSM notuð við EN 419 221-5 og EN 419 241-2 staðla (Fjar QES frá eIDAS 2.0). Til viðbótar, bera beiðni á birginn um Common Criteria vottun númer hans HSM — alvarlegt QTSP birtir þetta í tæknilegu gögn sinni.

Dulritunarfræði vélbúnaðar · FIPS 140-3 · CC EAL4+

HSM (Hardware Security Module) : af hverju og hvenær á að nota það

HSM (Hardware Security Module, á íslensku vélbúnaðaröryggiseining) er óbrjótanlegur rafeindatæki sem framleiðir, geymir og notar dulritunarlykla án þess að afhjúpa þá háskýrt fyrir utan hólf tækisins. Það er vélbúnaðareining sem gerir samhykkta rafræna undirskrift (QES) samkvæmt reglugerð eIDAS mögulega, dulkóðun með opinberum lykli (PKI), traust-rót vottunaraðila (CA), og víðar allar dulritunaragir sem krefjast tryggðar um líkamlega og rökfræðilega óbrotaleika. Þessi handbók útskýrir hvernig HSM virkar, hvað það gerir, hvernig það er vottuð (FIPS 140-2, FIPS 140-3, Common Criteria EAL4+), og hvernig það er frábrugðið TPM eða hugbúnaðar-KMS.

Hvað er HSM í raun og veru?

HSM er vélbúnaðarhólf (1U rakreisir, PCIe kort, USB-lykill eða netkerfi tæki) sem framkvæmir dulritunaragir (lyklakynning, undirskrift, dulkóðun, afkóðun, hashing) innan innsiglaðs líkamlegs hirslukerfis. Einkalyklar yfirgefa aldrei HSM : allt tilraun til að draga út virkjar strax eyðingu (tamper response). Hólfið er hannað til að standast árásir á aukakeildir (greining á raforku, rafsegulbirtingu, spennutruflanir), árásir með biti-flip (fault injection) og athugun undir rafseguls smásjá.

Í reynd, forrit sem vill undirrita skjal sendir HSM þjöppunina (hash SHA-256) skjalsins um stöðluðu API (PKCS#11, KMIP, CNG, JCE). HSM undirritar hash með einkalykli sem er eingöngu fyrir innan hirslukerfis þess, og sendir síðan undirskriftina til baka. Undirritaði skjalið inniheldur undirskriftina og samsvarandi opinbera vottorð — en einkakeyrir helst óbreytilega vernduð. Þetta er það sem aðgreinir samhykkta eIDAS undirskrift (QES, studd við HSM hjá hæfu þjónustuveitu) frá einfaldri undirskrift (SES, án vélbúnaðar takmarkana) eða ítarlegri (AES, með lykli sem stjórnandi undirritar).

Fimm notkun þar sem HSM er ómissandi

HSM er ekki almenningsvara: það er skylt þegar reglugerð, staðall eða samningur krefst vélbúnaðar tryggðu um óbrotaleika lykla.

Samhykkta eIDAS undirskrift (QES)

Evrópsk reglugerð eIDAS (ESB 910/2014) krefst þess að samhykkta undirskrift sé mynduð af vottuðu búi fyrir samhykkta undirskrift (QSCD) — í reynd, HSM vottuð EN 419 221-5 eða Common Criteria EAL4+. Það er HSM hæfu traust þjónustuveitu (QTSP) sem hýsir einkalykkil undirritara og framkvæmir undirskriftina.

Dulkóðun viðkvæmra gagna

HSM stýra aðallyklum (Key Encryption Keys, KEK) sem dulkóða dulkóðunarlykla gagnagrunna, diskra (BitLocker, LUKS) eða afritana. Dæmigerð tilfelli: PCI-DSS samkvæmni fyrir greiðsluvinnslur, HIPAA / HDS fyrir heilsugögn, varðvernd fyrir stjórnsyslu.

Vottunaraðili (PKI)

Allir rottu-, bera- eða útgefandi vottunaraðilar (CA) nota HSM til að mynda og nota lyklinn sem undirritar X.509 vottorð. Rót-lykill almennings CA (Let's Encrypt, DigiCert, Sectigo) eða einkafyrirtækis (Active Directory CS, ADFS) verður að vera í vottuðu HSM.

Stjórnun dulritunarlykla (KMS)

Skýjakerfi (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM) biðja upp á sameiginleg eða sérstök HSM til að stjórna fullum líftíma lykla : myndum, snúning, útleiðslu, geymslu, eyðingu. Kosturinn umfram hreinan hugbúnaðar KMS : sönnun um óbrotaleika sem hægt er að deila við eftirlitsaðila og endurskoðara.

TLS rót og mikilvæg þjónn vottorð

TLS vottorð mikilvægra innviða (bankagatir, undirritun hugbúnaðarkóða, rót CA IoT framleiðenda) eru vernduð með HSM. HSM undirritar útgangsvottorð án þess að afhjúpa rót-lykkil — jafnvel við fullkompleksa skaðabót hýsiljúðs.

HSM vottun : hvað þarf að vita

Allar vottanir hafa ekki sama gildi. Vottunarstigi ákvarðar hvaða reglur notkun HSM opnar til (eIDAS QSCD, PCI-DSS HSM, varðverslunarsamningar).

FIPS 140-2 og FIPS 140-3 (NIST, Bandaríkin)

FIPS 140-2 (birt 2001, endurkallaðar úr virkri skrá árið 2026) og arftaki þess FIPS 140-3 (gilti frá 2019, áskildir fyrir ný afurðir síðan 2024) skilgreina 4 öryggisstigi. Stig 3 (lyklar eytt ef hirslukerfinu opnað) er lágmark fyrir banka- og opinbera PKI ; stig 4 (ónæmi gegn auka-keildarásum og umhverfisbreytingum) er krafist fyrir ákveðna varðverslunaraðstöðu.

Common Criteria EAL4+ (ISO/IEC 15408, alþjóðlegt)

Common Criteria er alþjóðlegur staðall fyrir mat á öryggi IT-vara. Fyrir HSM er stig Common Criteria EAL4+ með Protection Profile EN 419 221-5 krafist af reglugerð eIDAS fyrir bú fyrir samhykkta undirskrift (QSCD). Það er það sem evrópsk hæf traust þjónustuveitur (QTSP) nota.

ETSI EN 319 411 og 319 412 (Evrópa)

ETSI staðlar skilgreina tæknilegar kröfur sem hæf traust þjónustuveita (QTSP) samkvæmt eIDAS verður að fullnægja — þar með talið notkun HSM vottuð EN 419 221-5. QTSP sem birtist á evrópskum traustvottum (eIDAS TL) hefur verið endurskoðað samkvæmt þessum stöðlum af viðurkenndum aðila (á Íslandi: sambærilegt yfirlit).

ANSSI (Frakkland) og BSI (Þýskaland)

ANSSI gefur út almennt öryggisverk (RGS) og gefur út hæfni "Staðlaðar" og "Aukins" fyrir dulritunarvörur. Þýski BSI gefur út sambærilega vottun (CSPN, BSI-TR). Þjóðarríki opinberskipunar geta krafist þessra innlendra hæfar auk evrópskra vottana.

HSM vs TPM vs hugbúnaðar KMS — hvaða lausn á að velja?

Rétti valið fer eftir gildi lykla til verndunar, reglubundnum þvingunum og fjárhagsáætlun. Hér eru sex víddir sem leiðbeina ákvörðuninni.

Vídd	HSM	TPM	Hugbúnaðar KMS
Tilgangur	Vernd dulritunarlykla fyrirtækja og innviða (QES, PKI, KMS).	Innsigla ræsingu og greina vél (BitLocker, TPM 2.0 sannprófun). Ein lykill á vél.	Miðstýra lykla-líftíma í minni/diski, án vélbúnaðar einangrunar.
Dulritun afköst	Margar þúsundir RSA-2048 undirskrifta á sekúndu (hágæða líkön : 25 000+ sig/s).	Nokkrar undirskriftir á sekúndu — beintlega fyrir staðbundna ad-hoc notkun.	Takmarkað af hýsil CPU (oft < 1000 sig/s fyrir RSA-2048).
Reglubundnar vottanir	FIPS 140-2/3, Common Criteria EAL4+, EN 419 221-5 (eIDAS QSCD).	Common Criteria EAL4+ fyrir TPM 2.0 (Microsoft Pluton, Google Titan). Ófullnægjandi fyrir QES eIDAS.	Engin vélbúnaðar vottun. ISO 27001 birgis mest og best.
Vélbúnaðar form	1U-2U rakreisir hólf, PCIe kort, herpu USB-lykill, eða sérstakur netkerfi tæki. Frá 8 000 €.	Flís leist á aðal kort (TPM 2.0) eða sýnd (vTPM). Nokkur evru á vél.	Ókeypis (HashiCorp Vault, OpenStack Barbican) eða SaaS (AWS KMS án CloudHSM).
Dæmigerð notkun	Samhykkta eIDAS undirskrift, rót PKI, PCI-DSS samkvæmni, varðvernd.	Örugg ræsing, staðbundin disk dulkóðun, Windows Hello sannprófun.	Forrit dulkóðun, DevOps leyndarmál, óþarflegar innri vottorð.
Heildarkostnaður eignarhalds	8 000 € til 80 000 € á tæki plús viðhald plús endurskoðun. Hægt að deila í gegnum skýi (€/klst).	Jaðarkostnaður (nú þegar til staðar á 99% faglegra tölvu eftir 2016).	Ókeypis í opnum uppspretta; ~0,03 $/lykli/mán í stýrðum SaaS (AWS KMS, Azure Key Vault).

Algengar spurningar — HSM

Hver er munurinn á HSM og TPM?: TPM (Trusted Platform Module) er flís leist á aðal kort næstum allra nútíma faglegra tölva — það er til að innsigla ræsingu, dulkóða disk (BitLocker) og bera kennsl á vél á einstaklingsbundinn hátt. HSM (Hardware Security Module) er sjálfstætt hólf tileinkað stjórnun dulritunarlykla fyrirtækis — það er til að undirrita skjöl á hæfu eIDAS stigi, hýsa rót vottunaraðila, eða vernda bankaflóðun lykla. TPM kostar nokkur evru á vél; HSM kostar margar þúsundir til tugir þúsunda evra, og gerist aðeins skynsamlegt á stigi stofnunar.
Er HSM dulkóðun virkilega óbrjótanleg?: Engin vernd er alger, en HSM dulkóðun er nú degi í dag hæsta stig vélbúnaðar verndunar tiltæk. HSM vottuð FIPS 140-3 stig 3 eða Common Criteria EAL4+ standast árásir á aukakeildir (orku greining, rafsegulbirtingu), árásir með fault injection (spennu eða hitastiga truflanir), og kalla fram sjálfvirka eyðingu lykla ef líkamlegur kostur opnast (tamper response). Engin opinber skaðabót á réttilega reknu HSM hefur verið skjalfest í framleiðslu á síðustu 10 árum.
Þarf ég að kaupa HSM til að nota samhykkta rafræna undirskrift?: Nei, nema þú sért sjálf hæf traust þjónustuveita. Til að undirrita í QES eru einkalyklar þínir hýstir í HSM hæfu QTSP (Universign, Certinomis, LuxTrust, og samstarfsaðila þeirra eins og Certyneo) sem birtast á evrópsku eIDAS trausti. Þú sérð aldrei HSM beint — þú hefur samskipti við það með sterkri auðkenningu (smart kort eða Fjar QES með MFA + andlits þekkingu frá eIDAS 2.0).
Hver er munurinn á HSM og KMS?: KMS (Key Management Service) er hugbúnaðar þjónusta sem orkestra líftíma lykla dulritunar — myndum, snúning, geymslu, endurskoðun. HSM er vélbúnaðar eining sem framkvæmir líkamlega dulritunaragir á þessum lyklum. Þeir tveir eru ekki keppandi : alvarlegt KMS treystir á HSM í bakgrunni (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM). Hreint hugbúnaðar KMS (án HSM) dugar fyrir innri óhæfri notkun en nær ekki PCI-DSS, eIDAS QES eða HIPAA HSM kröfum.
Hverjir eru aðal HSM framleiðendur árið 2026?: HSM markaðir er einkennist af fimm framleiðendum : Thales (Luna og payShield svið, sögulegur leiðtogi), Utimaco (CryptoServer, birgir margra evrópskra QTSP), Atos Eviden (Trustway Proteccio, ANSSI Aukins hæf), Marvell LiquidSecurity (skýja-eðlis HSM fyrir AWS og Azure) og Entrust nShield. Stærri skýjakerfi bjóða sín eigin sameiginlegu tilboð : AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. Fyrir samhykkta eIDAS undirskrift er afgerandi viðmiðun Common Criteria EAL4+ vottun með Protection Profile EN 419 221-5.
Get ég leigt HSM í skýi frekar en að kaupa einn?: Já. AWS CloudHSM, Azure Dedicated HSM og Google Cloud HSM leigja sérstök HSM vottað FIPS 140-2 stig 3 (dæmigert á milli 1 og 3 €/klst). Fyrir samhykkta eIDAS undirskrift duga þessi tilboð ekki ein og sér — þú þarft hæfa QTSP sem rekur sitt eigið HSM og birtast á evrópsku trausti. Kosturinn við skýja HSM er sveigjanlegt (engin CAPEX, engin líkamleg viðhald), gegn ástandi af háðleika við stærri skýjakerfi oft amerískan (viðkvæmt efni hvað varðar Cloud Act og evrópska stafræna fullveldi).
Hvernig get ég sannprófað að undirskrift birgir virkilega nota vottuð HSM?: Birgir verður að birtast á evrópsku eIDAS trausti (https://eidas.ec.europa.eu/) sem QTSP (Qualified Trust Service Provider). Þessi skráning er aðeins gefin út eftir endurskoðun af viðurkenndum aðila (á Íslandi sambærilegt yfirlit, í Þýskalandi TÜV) sem sannreyni sérlega samkvæmni HSM notuð við EN 419 221-5 og EN 419 241-2 staðla (Fjar QES frá eIDAS 2.0). Til viðbótar, bera beiðni á birginn um Common Criteria vottun númer hans HSM — alvarlegt QTSP birtir þetta í tæknilegu gögn sinni.

Til að ganga lengra

Ráðlögðar greinar

Tryggðu undirritaða skjöl þín með TLS dulkóðun

TLS dulkóðun er orðin ómissandi til að vernda skjöl þín sem undirrituð eru með rafrænum hætti. Uppgötvaðu bestu starfsvenjur til að tryggja skjölaflæði þín í samræmi við eIDAS.

9 min

Dulkódun enda-til-enda: Merking og öryggi

Dulkódun enda-til-enda er tæknilegar grunnur trúnaðar gagna með rafrænum undirskriftum. Að skilja hvernig það virkar er að ná tökum á öryggi samningasamskipta þinna.

8 min

HSM vs TPM: hver er munurinn og hvern á að velja?

HSM og TPM eru tvær vélbúnaðaröryggisteknologíur sem oft er ruglað saman, en með mjög mismunandi hlutverkum. Komdu auga á hvernig á að velja rétta eininguna eftir þinum þörfum.

8 min

HSM Encryption : rekjanir og einkalykklar (2026)

HSM-dulmál er ósýnilega grunnur allrar hæfrar rafrænar undirskriftar. Að skilja hvernig það virkar þýðir að ná tökum á dulmálsöryggi fyrirtækis þíns.

9 min

Þarftu samhykkta undirskrift studd við HSM?

Certyneo treystir á HSM vottuð Common Criteria EAL4+ rekin af hæfu QTSP sem birtist á evrópsku eIDAS trausti. QES á 9,90 €/aðgerð frá Standard áætluninni.

Byrjaðu ókeypis Sjá QES tilboðið