Koja je razlika između HSM i TPM?

TPM (Trusted Platform Module) je čip zalemljen na matičnu ploču skoro svih modernih poslovnih računara — služi da zapečati pokretanje, šifruje disk (BitLocker) i jedinstveno identifikuje mašinu. HSM (Hardware Security Module) je autonoman kutijski uređaj namenjen upravljanju kriptografskim ključevima preduzeća — služi da potpiše dokumente na kvalifikovanom eIDAS nivou, da ugosti koren certifikacione vlasti, ili da štiti ključeve za banciranje šifrovanja. TPM košta nekoliko evra po mašini; HSM košta nekoliko hiljada do deset hiljada evra, i ima smisla samo na nivou organizacije.

Da li je HSM šifrovanje stvarno neproboјno?

Nijedna zaštita nije apsolutna, ali HSM šifrovanje je danas najviši nivo dostupne materijalne zaštite. HSM sertifikovani FIPS 140-3 nivo 3 ili Common Criteria EAL4+ otporni su na napade bočnog kanala (analiza potrošnje, elektromagnetne emisije), napade ubrizgavanja greške (perturbacije napona ili temperature), i pokušavaju automatsko brisanje ključeva u slučaju fizičkog otvaranja kutije (tamper response). Nijedna dokumentovana kompromitacija pravilno upravlјanog HSM nije evidentirana u produkciji u poslednjih 10 godina.

Moram li kupiti HSM da koristim kvalifikovani elektronski potpis?

Ne, osim ako niste sami pružalac usluga poverenja. Za QES potpisivanje, vaši privatni ključevi se nalaze u HSM kvalifikovanog QTSP (Universign, Certinomis, LuxTrust, i njihovih partnera kao Certyneo) koji se nalazi na evropskoj Trusted List eIDAS. Nikada direktno ne vidite HSM — stupate sa njim u interakciju preko jačane autentifikacije (pametna kartica ili Remote QES preko MFA + biometrije od eIDAS 2.0).

Koja je razlika između HSM i KMS?

KMS (Key Management Service) je softverska usluga koja orkestrira životni ciklus kriptografskih ključeva — generisanje, rotacija, arhiviranje, revizija. HSM je komponenta koja materijalno izvršava kriptografske operacije na tim ključevima. Dva nisu konkurenti: ozbilјan KMS se oslanja na HSM u pozadini (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM). Čist softverski KMS (bez HSM) je dovolјan za nekritične interni upotrebu, ali ne pokriva regulatorne zahteve PCI-DSS, eIDAS QES ili HIPAA HSM.

Koji su glavni proizvodjači HSM 2026?

Tržište HSM dominiraju pet proizvodjača: Thales (Luna i payShield linije, istorijski lider), Utimaco (CryptoServer, dobavljač mnogih evropskih QTSP), Atos Eviden (Trustway Proteccio, ANSSI Renforcée kvalifikacija), Marvell LiquidSecurity (HSM cloud nativni za AWS i Azure) i Entrust nShield. Hiperscale nude svoje sopstvene mutualizovane ponude: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. Za kvalifikovani eIDAS potpis, odlučujući kriterijum je Common Criteria EAL4+ sertifikacija sa EN 419 221-5 Protection Profile.

Mogu li iznajmiti HSM u oblaku umesto da ga kupim?

Da. AWS CloudHSM, Azure Dedicated HSM i Google Cloud HSM iznajmljuju dedicirane HSM sertifikovane FIPS 140-2 nivo 3 (tipično između 1 i 3 €/sat). Za kvalifikovani eIDAS potpis, ove ponude nisu dovolјne same po sebi — potreban je kvalifikovani QTSP koji upravlја sopstvenim HSM i nalazi se na evropskoj Trusted List. Prednost cloud HSM je elastičnost (bez CAPEX, bez fizičkog održavanja), po ceni zavisnosti od hiperscale-a često američki (osetlјiva tema sa stanovišta Cloud Act i evropske digitalne suverenosti).

Kako proveriti da li pružalac potpisa stvarno koristi sertifikovani HSM?

Pružalac mora biti na evropskoj Trusted List eIDAS (https://eidas.ec.europa.eu/) kao QTSP (Qualified Trust Service Provider). Ova registracija je dodeljena samo nakon revizije od strane akreditovane organizacije (u Francuskoj LSTI/COFRAC, u Nemačkoj TÜV) koja proverava usaglašenost HSM sa normama EN 419 221-5 i EN 419 241-2 (Remote QES od eIDAS 2.0). Kao dopuna, zamolite pružaoca broj Common Criteria sertifikacije njegovih HSM — ozbilјan QTSP to objavljuje u svojoj tehničkoj dokumentaciji.

Hardverska kriptografija · FIPS 140-3 · CC EAL4+

HSM (Hardware Security Module): zašto i kada ga koristiti

HSM (Hardware Security Module, na srpskom modul hardverske bezbednosti) je nepropustljiv elektronski uređaj koji generiše, skladišti i koristi kriptografske ključeve bez da ih ikada izloži otvoreno van omotača. To je hardverska komponenta koja omogućava kvalifikovani elektronski potpis (QES) u smislu uredbe eIDAS, šifrovanje sa javnim ključem (PKI), korijen poverenja sertifikacionog tela (CA), i šire, bilo koju kriptografsku operaciju koja zahteva garanciju fizičke i logičke nepropustljivosti. Ovaj vodič objašnjava praktično šta je HSM, čemu služi, kako je sertifikovan (FIPS 140-2, FIPS 140-3, Common Criteria EAL4+), i kako se razlikuje od TPM ili čisto softverskog KMS.

Šta je HSM, praktično?

HSM je hardverski omotač (rack 1U, PCIe kartica, USB ključ ili mrežna naprava) koji izvršava kriptografske operacije (generisanje ključeva, potpis, šifrovanje, dešifrovanje, heš) unutar zapečaćene fizičke enklave. Privatni ključevi nikada ne napuštaju HSM: bilo koji pokušaj ekstrakcije fizički okida trenutno brisanje (tamper response). Omotač je dizajniran da se odupre napadima preko pomoćnog kanala (analiza potrošnje električne energije, elektromagnetne emisije, perturbacije napona), napadima kroz otklon bita (fault injection) i opservaciji elektronskim mikroskopom.

Praktično, aplikacija koja želi da potpiše dokument šalje HSM kondenzat (SHA-256 heš) dokumenta preko standardizovanog API (PKCS#11, KMIP, CNG, JCE). HSM potpisuje heš sa privatnim ključem koji se nalazi isključivo u svojoj enklavi, zatim vraća potpis. Potpisani dokument sadrži potpis i odgovarajući javni sertifikat — ali privatni ključ ostaje nepropustljivo zaštićen. To je ono što razlikuje kvalifikovani elektronski potpis eIDAS (QES, baziran na HSM kod kvalifikovanog pružaoca usluge) od običnog potpisa (SES, bez hardverskog ograničenja) ili naprednog (AES, sa ključem kontrolisanim od strane potpisnika).

Pet upotreba gde je HSM neophodan

HSM nije roba za široku javnost: obavezan je čim regulacija, norma ili ugovor zahtevaju hardversku garanciju nepropustljivosti ključeva.

Kvalifikovani elektronski potpis eIDAS (QES)

Evropska uredba eIDAS (EU 910/2014) zahteva da kvalifikovani potpis bude generisan sertifikovanim uređajem za kreiranje kvalifikovanog potpisa (QSCD) — praktično, HSM sertifikovan EN 419 221-5 ili Common Criteria EAL4+. To je HSM kvalifikovanog pružaoca usluge poverenja (QTSP) koji hostuje privatni ključ potpisnika i izvršava potpis.

Šifrovanje osetljivih podataka

HSM upravlja glavnim ključevima (Key Encryption Keys, KEK) koji šifruju ključeve šifrovanja baza podataka, diskova (BitLocker, LUKS) ili sigurnosnih kopija. Tipičan slučaj: usklađenost PCI-DSS za obrađivače plaćanja, HIPAA / HDS za zdravstvene podatke, državna tajna za administraciju.

Sertifikaciono telo (PKI)

Bilo koje sertifikaciono telo (CA) root, međudobno ili izdavačko koristi HSM da generiše i koristi ključ koji potpisuje X.509 sertifikate. Root ključ javnog CA (Let's Encrypt, DigiCert, Sectigo) ili privatnog korporativnog (Active Directory CS, ADFS) mora biti u sertifikovanom HSM.

Upravljanje kriptografskim ključevima (KMS)

Cloud platforme (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM) izlažu mutualizovane ili namenske HSM da upravljaju kompletnim životnim ciklom ključeva: generisanje, rotacija, derivacija, arhiviranje, brisanje. Prednost u odnosu na čisto softverski KMS: dokazlivost nepropustljivosti regulatorima i auditorima.

TLS root i kritični serverski sertifikati

TLS sertifikati kritične infrastrukture (bankarske prolaze, potpisivanje softverskog koda, root CA proizvođača IoT) su zaštićeni sa HSM. HSM potpisuje odlazne sertifikate bez da ikada izloži root ključ — čak i u slučaju kompletan kompromisa domaćina servera.

Sertifikacije HSM: šta trebate znati

Sve sertifikacije nemaju istu vrednost. Nivo sertifikacije određuje regulacije na koje korišćenje HSM daje pristup (eIDAS QSCD, PCI-DSS HSM, ugovori državne tajne).

FIPS 140-2 i FIPS 140-3 (NIST, Sjedinjene Države)

FIPS 140-2 (objavljen 2001, uklonjen iz aktivnog kataloga 2026) i njegov naslednik FIPS 140-3 (u važnosti od 2019, obavezan za nove proizvode od 2024) definišu 4 nivoa bezbednosti. Nivo 3 (ključevi izbrisani ako je enklave otvorena) je minimum za bankarsku i javnu PKI; nivo 4 (otpornost na napade preko pomoćnog kanala i na varijacije okruženja) je potreban za neke državne tajne.

Common Criteria EAL4+ (ISO/IEC 15408, međunarodno)

Common Criteria je međunarodni standard za procenu bezbednosti IT proizvoda. Za HSM, nivo Common Criteria EAL4+ sa Protection Profile EN 419 221-5 zahtevaju se od strane uredbe eIDAS za uređaje za kreiranje kvalifikovanog potpisa (QSCD). To koriste evropski kvalifikovani pružaoci usluga poverenja (QTSP).

ETSI EN 319 411 i 319 412 (Evropa)

ETSI norme definišu tehnička zahteva koje mora zadovoljiti pružalac usluge kvalifikovanog poverenja (QTSP) u smislu eIDAS — uključujući korišćenje HSM sertifikovanih EN 419 221-5. QTSP navedeni na Evropskoj listi poverenja (eIDAS TL) je revidiiran prema tim normama od strane akreditovane organizacije (u Francuskoj: LSTI, COFRAC).

ANSSI (Francuska) i BSI (Nemačka)

ANSSI objavljuje Opšti okvir sigurnosti (RGS) i dodeluje kvalifikacije "Standard" i "Pojačano" za kriptografske proizvode. Nemačka BSI objavljuje ekvivalentne sertifikacije (CSPN, BSI-TR). Nacionalne javne administracije mogu zahtevati te nacionalne kvalifikacije pored evropskih sertifikacija.

HSM vs TPM vs softverski KMS — koju rešenje izabrati?

Pravi izbor zavisi od vrednosti ključeva koje treba zaštititi, regulatornih ograničenja i budžeta. Evo šest dimenzija koje usmeravaju odluku.

Dimenzija	HSM	TPM	Softverski KMS
Namena	Zaštita kriptografskih ključeva preduzeća i infrastrukture (QES, PKI, KMS).	Zapečatiti pokretanje i identifikovati mašinu (BitLocker, atestacija TPM 2.0). Jedan ključ po mašini.	Centralizovati životni ciklus ključeva u memoriji/na disku, bez materijalne izolacije.
Kriptografski propusnost	Nekoliko hiljada RSA-2048 potpisa u sekundi (visokog nivoa modeli: 25.000+ sig/s).	Nekoliko potpisa u sekundi — orijentisano na lokalne povremene namene.	Ograničeno CPU domaćina (često < 1000 sig/s za RSA-2048).
Regulatorna sertifikovanja	FIPS 140-2/3, Common Criteria EAL4+, EN 419 221-5 (QSCD eIDAS).	Common Criteria EAL4+ za TPM 2.0 (Microsoft Pluton, Google Titan). Nedovolјno za QES eIDAS.	Nema materijalne sertifikacije. ISO 27001 dobavljača u najbolјem slučaju.
Materijalni oblik	1U-2U rack kutija, PCIe kartica, ojačan USB ključ, ili dedicirani mrežni uređaj. Počevši od 8.000 €.	Čip zalemljen na matičnu ploču (TPM 2.0) ili virtualizovan (vTPM). Nekoliko evra po mašini.	Besplatno (HashiCorp Vault, OpenStack Barbican) ili SaaS (AWS KMS bez CloudHSM).
Tipična upotreba	Kvalifikovani eIDAS potpis, PKI koren, PCI-DSS usaglašenost, odbranjena tajna.	Bezbedno pokretanje, lokalno šifrovanje diska, Windows Hello atestacija.	Aplikativno šifrovanje, DevOps tajne, nekritični interni sertifikati.
Ukupni trošak vlašćenja	8.000 € do 80.000 € po uređaju + održavanje + revizija. Deljivo putem oblaka (€/sat).	Marginalni trošak (već prisutan na 99% poslovnih PC-eva posle 2016).	Besplatno u otvorenom kodu; ~0,03 $/ključ/mesec u upravljanom SaaS (AWS KMS, Azure Key Vault).

Često postavljana pitanja — HSM

Koja je razlika između HSM i TPM?: TPM (Trusted Platform Module) je čip zalemljen na matičnu ploču skoro svih modernih poslovnih računara — služi da zapečati pokretanje, šifruje disk (BitLocker) i jedinstveno identifikuje mašinu. HSM (Hardware Security Module) je autonoman kutijski uređaj namenjen upravljanju kriptografskim ključevima preduzeća — služi da potpiše dokumente na kvalifikovanom eIDAS nivou, da ugosti koren certifikacione vlasti, ili da štiti ključeve za banciranje šifrovanja. TPM košta nekoliko evra po mašini; HSM košta nekoliko hiljada do deset hiljada evra, i ima smisla samo na nivou organizacije.
Da li je HSM šifrovanje stvarno neproboјno?: Nijedna zaštita nije apsolutna, ali HSM šifrovanje je danas najviši nivo dostupne materijalne zaštite. HSM sertifikovani FIPS 140-3 nivo 3 ili Common Criteria EAL4+ otporni su na napade bočnog kanala (analiza potrošnje, elektromagnetne emisije), napade ubrizgavanja greške (perturbacije napona ili temperature), i pokušavaju automatsko brisanje ključeva u slučaju fizičkog otvaranja kutije (tamper response). Nijedna dokumentovana kompromitacija pravilno upravlјanog HSM nije evidentirana u produkciji u poslednjih 10 godina.
Moram li kupiti HSM da koristim kvalifikovani elektronski potpis?: Ne, osim ako niste sami pružalac usluga poverenja. Za QES potpisivanje, vaši privatni ključevi se nalaze u HSM kvalifikovanog QTSP (Universign, Certinomis, LuxTrust, i njihovih partnera kao Certyneo) koji se nalazi na evropskoj Trusted List eIDAS. Nikada direktno ne vidite HSM — stupate sa njim u interakciju preko jačane autentifikacije (pametna kartica ili Remote QES preko MFA + biometrije od eIDAS 2.0).
Koja je razlika između HSM i KMS?: KMS (Key Management Service) je softverska usluga koja orkestrira životni ciklus kriptografskih ključeva — generisanje, rotacija, arhiviranje, revizija. HSM je komponenta koja materijalno izvršava kriptografske operacije na tim ključevima. Dva nisu konkurenti: ozbilјan KMS se oslanja na HSM u pozadini (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM). Čist softverski KMS (bez HSM) je dovolјan za nekritične interni upotrebu, ali ne pokriva regulatorne zahteve PCI-DSS, eIDAS QES ili HIPAA HSM.
Koji su glavni proizvodjači HSM 2026?: Tržište HSM dominiraju pet proizvodjača: Thales (Luna i payShield linije, istorijski lider), Utimaco (CryptoServer, dobavljač mnogih evropskih QTSP), Atos Eviden (Trustway Proteccio, ANSSI Renforcée kvalifikacija), Marvell LiquidSecurity (HSM cloud nativni za AWS i Azure) i Entrust nShield. Hiperscale nude svoje sopstvene mutualizovane ponude: AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM. Za kvalifikovani eIDAS potpis, odlučujući kriterijum je Common Criteria EAL4+ sertifikacija sa EN 419 221-5 Protection Profile.
Mogu li iznajmiti HSM u oblaku umesto da ga kupim?: Da. AWS CloudHSM, Azure Dedicated HSM i Google Cloud HSM iznajmljuju dedicirane HSM sertifikovane FIPS 140-2 nivo 3 (tipično između 1 i 3 €/sat). Za kvalifikovani eIDAS potpis, ove ponude nisu dovolјne same po sebi — potreban je kvalifikovani QTSP koji upravlја sopstvenim HSM i nalazi se na evropskoj Trusted List. Prednost cloud HSM je elastičnost (bez CAPEX, bez fizičkog održavanja), po ceni zavisnosti od hiperscale-a često američki (osetlјiva tema sa stanovišta Cloud Act i evropske digitalne suverenosti).
Kako proveriti da li pružalac potpisa stvarno koristi sertifikovani HSM?: Pružalac mora biti na evropskoj Trusted List eIDAS (https://eidas.ec.europa.eu/) kao QTSP (Qualified Trust Service Provider). Ova registracija je dodeljena samo nakon revizije od strane akreditovane organizacije (u Francuskoj LSTI/COFRAC, u Nemačkoj TÜV) koja proverava usaglašenost HSM sa normama EN 419 221-5 i EN 419 241-2 (Remote QES od eIDAS 2.0). Kao dopuna, zamolite pružaoca broj Common Criteria sertifikacije njegovih HSM — ozbilјan QTSP to objavljuje u svojoj tehničkoj dokumentaciji.

Za dalјe istraživanje

Preporučeni članci

Zaštitite svoje potpisane dokumente sa TLS šifrovanjem

TLS šifrovanje je postalo neophodno za zaštitu vaših elektronski potpisanih dokumenata. Odkrijte najbolje prakse za osiguranje vaših tokova dokumenata u skladu sa eIDAS.

9 min

Šifrovanje od kraja do kraja: značenje i bezbednost

Šifrovanje od kraja do kraja je tehnološki temelj privatnosti elektronski potpisanih dokumenata. Razumevanje njegovog funkcionisanja znači da ste ovladali bezbednošću vaših ugovornih razmena.

8 min

HSM vs TPM: koja je razlika i koji odabrati?

HSM i TPM su dve tehnologije hardverske bezbednosti često pogrešno shvatane, ali sa veoma različitim ulogama. Saznajte kako da odaberete pravi modul prema vašim potrebama.

8 min

HSM enkripcija: funkcionisanje i privatni ključevi (2026)

HSM enkripcija je nevidljivi temelj svake kvalificirane elektronske signature. Razumevanje njenog funkcionisanja znači ovladavanje kriptografskom bezbednošću vaše kompanije.

9 min

Trebate kvalifikovani potpis baziran na HSM?

Certyneo se oslanja na HSM sertifikovane Common Criteria EAL4+ koje upravlја kvalifikovani QTSP na evropskoj Trusted List eIDAS. QES za 9,90 €/čin počevši od Standard plana.

Počnite besplatno Pogledajte QES ponudu