HSM (Hardware Security Module)
Визначення
Сертифікація HSM : щоб відповідати положенню eIDAS, HSM повинен відповідати суворим стандартам — FIPS 140-2 рівень 3 або FIPS 140-3 рівень 3+ (американський стандарт NIST) та/або Common Criteria EAL4+ (європейський стандарт). HSM, сертифіковані за Common Criteria, мають право розміщувати ключі кваліфікованого підпису (QES) та ключі кваліфікованої позначки часу. Європейський реєстр довіри (EU Trusted List) містить список дозволених HSM для кожного кваліфікованого постачальника послуг.
Хмарні HSM vs фізичні HSM : історично HSM були спеціалізованими приладами, встановленими в приватних дата-центрах. Постачальники хмари тепер пропонують спільні або виділені HSM як SaaS — AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, а також національні HSM, керовані європейськими QTSP. Положення eIDAS 2.0 явно признає хмарні HSM для дистанційного кваліфікованого підпису.
HSM та шифрування (« HSM encryption ») : крім підпису, HSM захищають ключи шифрування баз даних, ключи шифрування дисків (BitLocker, FileVault, LUKS), корені ключів внутрішньої PKI та секрети додатків. Ротація, резервне копіювання та відкликання ключів керуються через PKCS#11 або власні інтерфейси.
Імплементація Certyneo : криптографічні ключі дистанційного підпису розміщені в HSM Common Criteria EAL4+, якими керує наш кваліфікований постачальник послуг довіри (QTSP). Жоден приватний ключ ніколи не доступний Certyneo чи його хостерові — кожна операція підпису проходить через сильне автентифікування підписувача та виклик API до HSM, який повертає підпис без висвітлення ключа. Див. також QSCD та хмарний підпис.
Часто задаються питання
Що таке HSM (Hardware Security Module)?
HSM — це спеціалізований надійний апаратний пристрій, який генерує, зберігає та використовує криптографічні ключі всередині сертифікованого апаратного забезпечення. Приватні ключі ніколи не залишають модуль у відкритому вигляді, що робить HSM основою довіри для кваліфікованих електронних підписів та печаток.
Для чого потрібен HSM?
На платформі підпису HSM розміщує ключі підпису та виконує саму криптографічну операцію: матеріал ключа ніколи не розкривається прикладному серверу. HSM також служать для захисту TLS ключів, органів сертифікації PKI, платежів та шифрування баз даних.
Яка різниця між HSM та програмним сховищем ключів?
Програмне сховище ключів зберігає ключи в пам''яті або на диску сервера, де одна компрометація дозволяє їх скопіювати. HSM зберігає ключи в сертифікованому та надійному апаратному забезпеченні (FIPS 140-2/3, Common Criteria EAL4+) і ніколи не висвітлює нічого крім операцій підпису чи розшифрування, а ніколи самих ключів.
Чи є HSM обов'язковим для кваліфікованого електронного підпису (eIDAS)?
Так. Відповідно до регламенту eIDAS, кваліфікований електронний підпис повинен бути створений за допомогою кваліфікованого пристрою створення підпису (QSCD). На практиці цей QSCD є сертифікованим HSM, що експлуатується кваліфікованим постачальником послуг довіри, який захищає ключ підписувача на найвищому рівні, вимаганому нормативно-правовими актами.
Що таке хмарний HSM?
Хмарний HSM — це сертифікований апаратний модуль, надається як керована служба: організація отримує захист ключів на рівні HSM без експлуатації самого устаткування. Дистанційна кваліфікована підписка спирається на хмарні HSM, якими володіє постачальник послуг довіри.
Пов'язані посібники
Пов'язані терміни
Готові застосувати ці концепції?
Certyneo дозволяє створювати конверти з підписами, відповідними eIDAS, за кілька кліків, без встановлення.