HSM vs TPM: koja je razlika i koji odabrati?

Uvod: dva modula, dve filozofije bezbednosti

U oblasti primenjene kriptografije i zaštite digitalnih ključeva, dve tehnologije se sistematski pojavljuju u diskusijama DSI i RSSI stručnjaka: HSM (Hardware Security Module) i TPM (Trusted Platform Module). Ova dva hardverska uređaja dele zajedničku svrhu — zaštitu osetljivih kriptografskih operacija — ali njihova arhitektura, slučajevi upotrebe i nivo certifikacije su fundamentalno različiti. Brkanje ova dva može dovesti do neodgovarajućih izbora infrastrukture, čak i do propusta u regulatornoj usklađenosti. Ovaj članak vam daje ključeve za razumevanje razlike HSM vs TPM, identifikovanje kada koristiti jedan ili drugi, i donošenje najbolje odluke za vašu organizaciju u 2026.

---

Šta je HSM (Hardware Security Module)?

Hardware Security Module je namenske hardverski uređaj, posebno dizajniran za generisanje, skladištenje i upravljanje kriptografskim ključevima u okruženju koje je fizički i logički zaštićeno. Radi se o autonomnoj komponenti — često u obliku PCIe kartice, mrežnog uređaja ili servisa u oblaku (HSM as a Service) — čija je glavna funkcija izvršavanje kriptografskih operacija visokih performansi bez izlaganja ključeva u jasnom obliku van modula.

Tehničke karakteristike HSM-a

HSM-ovi su certificirani prema strogim međunarodnim standardima, naročito FIPS 140-2 / FIPS 140-3 (nivoi 2, 3 ili 4) koje je objavio NIST, i Common Criteria EAL4+ prema normi ISO/IEC 15408. Ove certifikacije impliciraju mehanizme zaštite od neovlašćenog pristupa (tamper-resistance), detektore upadanja i automatsku uništavanja ključeva u slučaju pokušaja kompromitovanja.

Tipičan HSM nudi:

• Visoki kapacitet obrade: do nekoliko hiljada operacija RSA ili ECDSA po sekundi
• Multi-tenancy: upravljanje stotinama nezavisnih kriptografskih particija
• Standardizovani interfejsi: PKCS#11, Microsoft CNG, JCA/JCE, OpenSSL engine
• Kompletan audit trail: nepromenljivo vođenje evidencije svake operacije

Tipični slučajevi upotrebe HSM-a

HSM-ovi su srce kvalifikovane elektronske signature prema regulaciji eIDAS, gde privatni ključ potpisnika mora biti generisan i skladišten u kvalifikovanu uređaju za kreiranje potpisa (QSCD). Takođe opremaju i organe za sertifikaciju (CA/PKI), sisteme plaćanja (HSM-ove PCI-DSS protokola), infrastrukture za šifrovanje baza podataka i okruženja za potpisivanje koda.

Kvalifikovana elektronska signatura u preduzeću se skoro sistematski oslanja na HSM certificiran kao QSCD kako bi se obezbedila maksimalna pravna vrednost potpisa.

---

Šta je TPM (Trusted Platform Module)?

Trusted Platform Module je sigurnosni čip direktno integrisana na matičnoj ploči računara, servera ili povezanog uređaja. Standardizovan od strane Trusted Computing Group (TCG), čija je TPM 2.0 specifikacija takođe standardizovana kao ISO/IEC 11889:2015, TPM je dizajniran da obezbedi samu platformu umesto da bude centralizovani deljeni kriptografski servis.

Arhitektura i funkcionisanje TPM-a

Za razliku od HSM-a, TPM je komponenta za jednokratnu upotrebu, povezana sa specifičnom hardverskom opremom. Nije moguće premještati je ili deliti između više mašina. Njegove glavne funkcije obuhvataju:

• Merenje integriteta pokretanja (Secure Boot, Measured Boot) preko Platform Configuration Registers (PCR)
• Skladištenje ključeva povezano sa platformom: ključevi generiisani od TPM-a mogu se koristiti samo na mašini koja ih je kreirala
• Generisanje nasumičnih kriptografskih brojeva (RNG)
• Daljinska atestacija: dokazivanje udaljenom serveru da je platforma u poznatom stanju poverenja
• Šifrovanje volumena: BitLocker na Windows-u, dm-crypt sa TPM na Linux-u se direktno oslanjaju na TPM

Ograničenja TPM-a za napredne enterprise slučajeve

TPM 2.0 je certificiran FIPS 140-2 nivoom 1 u najboljem slučaju, što je znatno manje od FIPS 140-3 nivoa 3 certifikacija profesionalnih HSM-ova. Njegova kapaciteta kriptografske obrade je ograničena (nekoliko desetina operacija po sekundi), i ne podržava nativno PKCS#11 ili CNG interfejse na isti način kao dedicirani HSM. Za naprednu ili kvalifikovanu elektronsku signaturu, TPM sam je obično nedovoljan prema zahtevima eIDAS prilog II za QSCD.

---

Fundamentalne razlike HSM vs TPM: poređenja tabela

Razumevanje razlike HSM vs TPM Trusted Platform Module prolazi kroz strukturirano poređenje određujućih kriterijuma za preduzeće.

Nivo certifikacije i sigurnosna uverenja

| Kriterijum | HSM | TPM | |---|---|---| | FIPS certifikacija | 140-3 nivo 2 do 4 | 140-2 nivo 1 | | Common Criteria | EAL4+ do EAL7 | EAL4 | | Kvalifikacija eIDAS QSCD | Da (npr.: Thales Luna, Utimaco) | Ne | | Fizička zaštita od neovlašćenog pristupa | Napredna (auto-uništavanje) | Osnovna |

Kapaciteta, skalabilnost i integracija

HSM-ovi su multi-korisničkog i multi-aplikacijskog uređaja: jedan mrežni uređaj može istovremeno poslužiti stotine klijenata, aplikacija i servisa preko PKCS#11 ili REST API-ja. Integruju se u arhitekture visoke dostupnosti (klasteri aktivni-aktivni) i podržavaju industrijske kriptografske propusnosti.

TPM je, sa druge strane, mono-mašina i mono-tenant po dizajnu. Odličan je za zaštitu radne stanice, zaštitu Windows Hello for Business akreditivnog sistema i integritet firmvera. Za operacije elektronske signature u dokumentarnim radnim tokovima, TPM ne može igrati ulogu deljenog kriptografskog servisa.

Troškovi i primena

Enterprise nivoa mrežni HSM (Thales Luna Network HSM, Utimaco SecurityServer, AWS CloudHSM) predstavlja investiciju od 15.000 € do 80.000 € za on-premise hardver, ili između 1,50 € i 3,00 € po satu u upravljanom cloud modu prema dobavljačima. TPM je, pak, integrisana bez dodatnog troška u skoro svim poslovnim PC-ima, serverima i ugnježđenim sistemima od 2014. (obavezno za Windows 11 od 2021).

---

Kada koristiti HSM, a kada TPM u preduzeću?

Odgovor na ovo pitanje zavisi od vaše operativne situacije, regulatornih obaveza i arhitekture vašeg informacijskog sistema.

Odaberite HSM za:

• Primenu interne PKI: privatni ključevi vaše interne strukture certifikacionog autoriteta moraju imperativno biti u certificiranom HSM-u da bi se dobila poverenje pregledača (CA/Browser Forum Baseline Requirements)
• Emitovanje kvalifikovanih elektronskih potpisa: u skladu sa prilogom II Regulacije eIDAS br. 910/2014, QSCD moraju biti certificirani prema standardima ekvivalentnim najmanje EAL4+; poređenje rešenja za elektronsku signaturu detaljno opisuje ove zahteve
• Osiguranje finansijskih transakcija visokog volumena: PCI-DSS v4.0 standardi (sekcija 3.6) zahtevaju zaštitu ključeva šifrovanja podataka kartice u HSM-ima
• Šifrovanje baza podataka ili oblaka: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM omogućavaju zadržavanje kontrole ključeva (BYOK / HYOK)
• Potpisivanje koda i integritet CI/CD gradnje: potpisivanje softverskih artefakata za bezbednu lanac napajanja zahteva HSM kako bi se sprečilo krađa ključa

Odaberite TPM za:

• Zaštitu pokretanja radnih stanica i servera: Secure Boot + Measured Boot + atestacija na distanci preko TPM 2.0 čine osnovu Zero Trust na krajnjim tačkama
• Šifrovanje diskova sa punom zaštitom: BitLocker sa TPM štiti podatke u mirovanju bez zavisnosti od spoljnog servisa
• Hardversku autentifikaciju radnih stanica: Windows Hello for Business koristi TPM za skladištenje privatnih ključeva autentifikacije bez mogućnosti ekstrakcije
• Usklađenost NIS2 bezbednosti krajnjih tačaka: direktiva NIS2 (EU 2022/2555), preneta u francusko pravo Zakonom od 13. juna 2024, namešne tehnički proporcionalne mere za bezbednost informacijskih sistema; TPM direktno doprinosi zaštiti materijalnih sredstava
• Industrijske IoT projekte: TPM-ovi ugradnjeni u automatske sisteme i SCADA sisteme omogućavaju daljinsku atestaciju bez dedicirane HSM infrastrukture

Hibridne arhitekture HSM + TPM

U velikim organizacijama, HSM i TPM nisu u suprotnosti: oni se dopunjuju. Server opremljen TPM 2.0 može atestovati svoj integritet servisu centralizovanog upravljanja, dok se operacije kriptografske poslovne primene (potpisivanje, šifrovanje podataka aplikacije) delegiraju klastera mrežnog HSM-a. Ova arhitektura se preporučuje od strane ANSSI-a u njegovom vodiču za upravljanje rizicima povezanim sa dobavljačima usluga poverenja (PSCE). Konsultovanje rečnika elektronske signature može pomoći tehničkim timovima da usaglase terminologiju pri definisanju ove arhitekture.

Pravni i regulatorni okvir primenljiv na HSM i TPM

Izbor između HSM i TPM direktno utiče na usklađenost vaše organizacije sa nekoliko evropskih i međunarodnih regulatornih referencijalnih sistema.

Regulacija eIDAS br. 910/2014 i eIDAS 2.0 (Regulacija EU 2024/1183)

Članak 29 Regulacije eIDAS zahteva da kvalifikovani elektronski potpisi budu kreirani korišćenjem Qualified Signature Creation Device (QSCD), definisanog u prilogu II. Ovi uređaji moraju garantovati poverljivost privatnog ključa, njegovu jedinstvenost i nepovredivost. Lista priznatih QSCD-a objavljuje se od strane nacionalnih tela za akreditaciju (u Francuskoj: ANSSI). HSM-ovi certificirani FIPS 140-3 nivoom 3 ili Common Criteria EAL4+ se pojavljuju na ovim listama; TPM se ne pojavljuje. Davatelj usluge potpisa kao što je Certyneo se oslanja na kvalifikovane HSM-ove kako bi garantovao maksimalnu dokaznu vrednost emitovanih potpisa.

Francuski građanski zakon, članci 1366 i 1367

Članak 1366 priznaje pravnu vrednost elektronskog pisma „pod uslovom da osoba od koje potiče može biti pravilno identifikovana i da je uspostavljeno i čuvano u uslovima koji su po prirodi namenski da garantuju njegov integritet". Članak 1367 pojašnjava uslove pouzdane elektronske signature, indirektno referirajući na eIDAS zahteve za kvalifikovane potpise.

GDPR br. 2016/679, članci 25 i 32

Princip zaštite privatnosti po dizajnu (članak 25) i obaveza primene odgovarajućih tehnskih mera (članak 32) nameću zaštitu kriptografskih ključeva koji se koriste za šifrovanje ličnih podataka. Korišćenje certificiranog HSM-a predstavlja tehniku stanja tehnike (state of the art prema razmatranju 83 GDPR) za demonstriranje usklađenosti tokom nadzora CNIL-a.

Direktiva NIS2 (EU 2022/2555), preneta u Francusku

Direktiva NIS2, primenljiva na bitne i važne subjekte od oktobra 2024, nameće člankom 21 mere upravljanja rizicima uključujući bezbednost lanca snabdevanja softvera i šifrovanje. HSM-ovi direktno odgovaraju ovim zahtevima za kritične operacije, dok TPM-ovi doprinose zaštiti krajnjih tačaka.

ETSI standardi

Standard ETSI EN 319 401 (opšti zahtevi za davatelje usluga poverenja) i ETSI EN 319 411-1/2 (zahtevi za CA koji emituju kvalifikovane sertifikate) zahtevaju skladištenje CA ključeva u certificiranim HSM-ima. Standard ETSI EN 319 132 (XAdES) i ETSI EN 319 122 (CAdES) definišu formate potpisa koji pretpostavljaju upotrebu certificiranih bezbednih modula.

ANSSI preporuke

ANSSI objavljuje RGS (Referentni opšti sigurnosni standard) i svoje vodiče o HSM-ima, preporučujući upotrebu certificiranih modula za bilo koju osetljivu PKI infrastrukturu u javnim organizacijama i OIV/OSE. Nepoštovanje ovih preporuka može predstavljati kršenje obaveza NIS2 za dotične subjekte.

Scenariji upotrebe: HSM ili TPM prema kontekstu

Scenario 1: društvo za upravljanje sredstvima sa internom PKI

Društvo za upravljanje sredstvima koje upravlja nekoliko milijardi evra sredstava pod upravom trebalo da digitalno potpiše regulatornu izveštavanja (AIFMD, MiFID II) i ugovore o investicijama sa kvalifikovanom pravnom vrednošću. Primenjuje internu PKI čiji su privatni ključevi (Root CA) i međuproizvođači (Issuing CA) zaštićeni u dva HSM-a mrežnog klastera visoke dostupnosti, certificirana FIPS 140-3 nivoom 3. Kvalifikovani sertifikati se emituju na partnerskim HSM-ima koji su usklađeni sa eIDAS QSCD. Rezultat: 100% potpisa ima kvalifikovanu vrednost, regulatorni auditi AMF-a potvrđuju usklađenost, a vreme za potpisivanje investicionih dokumenata se smanjuje sa 4 dana na manje od 2 sata. Troškovi HSM infrastrukture se nadoknađuju za manje od 18 meseci u odnosu na potencijalne troškove neusklađenosti.

Scenario 2: mala industrijska preduzeća sa 150 zaposlenih koja osiguravaju svoj parк radnih stanica

Mala preduzeća iz sektora aeronavtičke proizvodnje, dobavljač drugog reda predmet CMMC zahtevima (Cybersecurity Maturity Model Certification) i NIS2 preporukama, trebalo da osigura 150 Windows radnih stanica protiv krađe osetljivih tehnijskih podataka. RSSI primenjuje BitLocker sa TPM 2.0 na ceo park, u kombinaciji sa Windows Hello for Business za autentifikaciju bez lozinke. Daljinska atestacija preko TPM je integrisana u MDM rešenje (Microsoft Intune). Nema potrebe za HSM u ovom kontekstu: TPM-ovi integrisani u Dell i HP računare su dovoljni. Rezultat: rizik od curenja podataka zbog fizičke krađe laptop-a je smanjen na skoro nulu, a rezultat zrelosti cybersecurity-a male preduzeće napreduje za 40% prema CMMC samoevaluaciji. Dodatni troškovi: 0 € (TPM je već integrisana u mašine).

Scenario 3: operator SaaS platforme za elektronsku signaturu sa više klijenata

SaaS operator koji nudi usluge elektronske signature stotinama klijentski preduzeća trebalo da garantuje kriptografsku izolaciju između klijenata i eIDAS kvalifikaciju svoje usluge. Primenjuje arhitekturu zasnovanu na HSM u modu cloud dedicirani (AWS CloudHSM ili Thales DPoD), sa HSM particijom po veliki tenant i deljenim bazeinom za standardne klijente. Svaki klijent ima koristi od izolovanog ključa u svojoj particiji, nezavisno revidirajućih. TPM-ovi opremaju aplikacione servere za atestaciju integriteta platforme tokom eIDAS audit certifikacije (QTSP). Rezultat: operator dobija QTSP kvalifikaciju od ANSSI, omogućavajući emisiju kvalifikovanih potpisa. HSM kao servis model smanjuje capex infrastrukture za 60% u odnosu na on-premise rešenja, prema uporedbama industrijskih benchmark-a.

Zaključak

Razlika između HSM i TPM je fundamentalna: HSM je deljeni kriptografski servis, visokih performansi i multi-aplikacijski, neophodan za PKI, kvalifikovane eIDAS potpise i PCI-DSS ili NIS2 usklađenost na velikoj skali. TPM je sigurnosna komponenta vezana za specifičnu hardversku platformu, idealna za zaštitu krajnjih tačaka, bezbedno pokretanje i lokalnu autentifikaciju. U većini zrelih enterprise arhitektura 2026, oba koegzistiraju sa komplementarnim i nesupsituabilnim ulogama.

Ako vaša organizacija nastoji da primeni kvalifikovanu rešenja elektronske signature na osnovu certificirane HSM infrastrukture, bez upravljanja složenom tehnikom interno, Certyneo nudi SaaS platformu ključ u ruke, usklađenu eIDAS i GDPR. Saznajte Certyneo tarife ili kontaktirajte naše stručnjake za audit vašim kriptografskim potrebama.