专业人士眼中的硬件安全模块（HSM）_揽阁信息科技（上海）有限公司

021-54410609

专业人士眼中的硬件安全模块（HSM）

发布时间：2019-07-06 10:13:26 阅读次数：

硬件安全模块（HSM）是一种物理计算设备，用于保护和管理用于强认证的数字密钥并提供密码处理。传统上，这些模块以插件卡或直接连接到计算机或网络服务器的外部设备的形式出现。

硬件安全模块是具有审计和加密功能的物理设备，用于保护敏感信息（如加密密钥）以及加密/解密信息的性能。一旦您将加密密钥加载到其中，它就只能被授权方访问/使用，并且每个访问/使用都会被记录下来并且可以被审计。当必须存储代码签名密钥，顶级证书颁发机构的主加密证书或用于保护有价值数字资产的其他重要密钥时，这提供了非常显着的好处。

专业人士眼中的硬件安全模块（HSM）(图1)

场景1：您是一家软件开发公司，生产用于金融交易处理的软件，您可以维护软件并向客户发送更新。

在这种情况下，为了保护您的客户免于接收声称是您的其他人的软件更新，您将选择对可执行文件和DLL以及您向客户端发送的任何更新进行数字签名（特别是在使用自动交付方法时）。但是现在，用于对代码进行数字签名的证书对攻击者来说非常有价值。您如何保证一名前心怀不满的员工没有保存您的证书副本，并且攻击者没有从旧备份中获取副本，您在哪里可以使用它等等？如果它被未经授权的一方使用，您怎么知道？

这正是这些设备的设计目标。

根据您正在使用的行业，特别是在高度监管的行业中，硬件安全模块的认证级别和类型可能变得重要，这直接影响功能和定价。

NIST

美国国家标准与技术研究院（NIST）是美国商务部的计量实验室和非监管机构。其使命是促进创新和产业竞争力。

FIPS 140-2

联邦信息处理标准（FIPS）出版物140-2（FIPS PUB 140-2）是用于批准加密模块的美国政府计算机安全标准。标题是加密模块的安全要求。请参阅：https://en.wikipedia.org/wiki/FIPS_140-2

FIPS 140-2定义了4个级别的HSM，级别1只需要基本的加密功能和经批准的算法（当然是生产级设备，外部实体测试的算法），4级能够检测几乎任何类型的数字或物理攻击向量并擦除密钥如果受到损害。2级和3级是最常见的，所以我将详细介绍它们。

FIPS 140-2 2级硬件安全模块

虽然1级能够进行加密操作，但2级HSM需要具有物理和数字篡改证据的功能，包括必须打破的防篡改涂层或密封，以实现对明文加密密钥和关键安全参数的物理访问（CSP）在模块内。级别2还至少要求基于角色的认证，其中加密模块认证运营商的授权以承担特定角色并访问相应的服务集。

FIPS 140-2 3级硬件安全模块

除了级别2所需的防篡改物理安全机制之外，级别3还试图阻止入侵者访问加密模块中保存的CSP。
安全级别3所需的物理安全机制旨在检测和响应对物理访问，使用或修改加密模块的尝试的高概率。
物理安全机制可以包括使用强外壳和篡改检测/响应电路，当加密模块的可移除盖/门打开时，所述篡改检测/响应电路将所有明文CSP归零。

NIST加密模块验证程序

https://csrc.nist.gov/projects/cryptographic-module-validation-program/validated-modules/search

(关键词：Gemalto）

这些设备是什么样的，我有什么选择？

这当然在很大程度上取决于您的需求。但是有一些主要的选择需要考虑。首先，请注意，如果您尝试保护某些加密密钥，那么备份它们也需要是安全的，因此在大多数情况下，受HSM保护的内容只能备份到另一个HSM。之后，可用性和延迟成为重要的考虑因素。

专用HSM

关注

较高的前期成本，对于FIPS 140-2 Level 2 HSM，每台设备通常> 4,000美元以上，或者对于3级而言是两倍，并且您可能需要多个单元（揽阁备注：联系揽阁信息，可以获取最终产品报价）
托管成本/管理复杂 - 它们占用了数据中心的空间，您需要工程师熟悉它们的工作方式
冗余和异地备份可能需要大量设备
有时开发人员难以集成或需要专业知识 - 每个供应商都可以拥有自己的界面和SDK，但通常支持PKCS＃11
谨慎维护QA / STG环境

优点

到目前为止最安全的选项，因为您在正确配置后控制设备周围的所有内容
在应用程序旁边的数据中心内部/共同定位
由您/您的IT管理
专用硬件，所以只有你的东西

一些很棒的选择包括SafeNet Luna Network HSM（以前的Luna SA）和SafeNet ProtectServer HSM。

托管HSM

关注

外部托管/依赖供应商提供服务
应用程序和供应商之间的流量
共享硬件
延迟可能是云混合环境中的一个问题
HSM通常需要一些专业知识，因此正确使用它们始终是一个问题

优点

降低前期成本
供应商管理备份/复制/保证可用性
供应商管理安全性和更新

AWS CloudHSM是一个很好的选择，它是FIPS 140-2 Level 3 HSM（揽阁备注：AWS CloudHSM最便宜的报价大概为，100,000人民币/年。）

由HSM支持的托管服务

另一种选择是使用一种抽象与HSM通信的服务，而不是拥有自己的HSM，同时仍然保持安全性。

关注

外部托管/依赖供应商提供服务
应用程序和供应商之间的流量
延迟可能是云混合环境中的一个问题
共享硬件

优点

总体成本非常低，有些服务几乎不存在
供应商管理备份/复制/保证可用性
供应商管理安全性和更新
对于开发人员来说，直接集成，API通常很简单，不需要专业知识

一些很好的选择包括Azure KeyVault和AWS Key Management Service（KMS）。

最后，如果需要拥有您的HSM并控制所有内容，还希望获得HSM支持的服务API的优势，揽阁信息将是您的最佳选择。

揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

数据库访问控制：揽阁LGPAC系统
通用HSM：Luna HSM、ProtectServer HSM
支付HSM：payShield 10K
KMS产品：CipherTrust Manager、Vormetric、KeySecure
数据保护：应用层数据加密、数据库加密、令牌化（Tokenization）、透明加密
网络传输加密：Thales High Speed Encryption（HSE）
身份认证：STA、SAS、USB令牌、智能卡、OTP令牌、手机令牌、虚拟智能卡、FIDO2、读卡器

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！