021-54410609
密码密钥的适当管理对于密码学的应用至关重要。这通常可以通过使用硬件安全模块（HSM/加密机）来辅助，HSM是带有嵌入式处理器的专用硬件机器，该处理器为网络中的用户，应用程序和计算机提供加密服务，并在其每个阶段显式保护加密密钥的生命周期。
本文讨论了保护密钥生命周期的安全性要求以及HSM如何满足这些要求，并强调了总体密钥管理系统（KMS）的重要性。
HSM安全保证
考虑到HSM发挥的重要作用，至关重要的是要确保其安全性。FIPS 140-2是国际认可的安全标准，用于认可诸如HSM和智能卡之类的加密模块。它定义了四个安全级别，从“Level 1”到“Level 4”。每个安全级别的要求/描述如下：
Level 1：这是最基本的安全级别，只需要包含一个批准的算法或安全功能，而无需对HSM进行物理保护。
Level 2：要求在HSM中纳入篡改证据和基于角色的身份验证。
Level 3：需要防篡改以及篡改证据和基于身份的身份验证。
Level 4：最安全的级别包括对物理安全和环境条件的攻击的识别和缓解，即使在不受保护的物理环境中操作，也可以确保HSM的全面安全性。
FIPS验证不是产品完善和效率的基准。这仅意味着FIPS合格的测试实验室的技术专家对HSM进行了一些合理的标准安全检查。当前，几乎所有的HSM供应商都对其产品进行FIPS 140-2验证，以解决客户的安全要求。
使用HSM的有效密钥安全性
加密密钥在其生命周期中经历了很多阶段，例如生成，安全存储，安全分发，备份和销毁-被称为密钥生命周期。密钥管理在确保加密协议/应用程序的安全性机制中起着至关重要的作用。随着信息系统中实施的加密机制的部署和发展的增加，密钥管理始终成为主要挑战。通过使用HSM可以确保和增强密钥管理的安全性，例如：
密钥的保护：HSM保护并保护密钥生命周期的所有阶段，从生成到破坏。私钥和其他敏感的加密材料永远不会离开HSM（除非经过加密），并且只能根据特定的访问控制机制来使用。相反，软件存储/管理的密钥（存储在应用程序和OS中）容易受到恶意软件的未经授权的访问。
安全密钥生成：HSM包含TRNG（真实随机数生成器），TRNG基于物理熵源（例如热噪声，雪崩噪声和大气噪声）生成实时随机数。这些随机数用作安全生成唯一加密密钥的种子。键的强度主要取决于这些随机数。如果随机数生成器是可预测的或弱的，则整个密钥生成机制在密码学上是弱的。用软件生成的密钥本质上比使用基于硬件的TRNG生成的密钥弱。
安全备份：必须部署HSM，同时牢记业务连续性和灾难恢复。除了主要HSM之外，整个体系结构还应至少包括一个备份（辅助）HSM。
防篡改：HSM遵循严格的设计要求，以满足FIPS 140-2标准。对于HSM，最重要的资产是加密密钥。密钥始终驻留在HSM中，并且永远无法导出。在检测到物理或逻辑攻击的情况下，级别3或级别4 HSM可以将其所有密钥清零或擦除，以防止它们落入不正确的人手中。同样，HSM也可以安全地完成密钥泄露时的密钥擦除。
加密操作的速度提高：加密操作有时很耗时，并且可能会使应用程序变慢。HSM具有专用且功能强大的加密处理器，可以同时执行数千个加密操作。HSM可以有效地用于从应用程序服务器上卸载加密操作。(Thales Luna Network HSM 790可以达到RSA 2048每秒10000次运算）
完整的审核和日志跟踪： HSM根据执行操作的日期和时间维护所有关键操作的日志/记录。这对于证明遵守各种法规至关重要。
集中式密钥管理
无论HSM在保护密钥方面有多有效，一旦您有多个由不同应用程序使用的HSM，密钥的管理就会迅速变成一个复杂而分散的过程。缺乏明确的所有权可能导致操作程序不一致，工作重复以及审核和合规性问题。这些问题随着时间的流逝而不断发展，并且变得越来越昂贵且难以管理。
该解决方案是企业密钥管理系统，可提供集中的可见性并控制组织内的所有密钥。这样的系统还可以安全地生成，管理密钥并将密钥分发给不使用HSM的应用程序。好处包括降低成本，降低风险和更容易证明合规性。
结论
本文重点介绍了HSM如何在其整个生命周期内实现对密码密钥的有效保护，从而为使用密码的应用程序带来了显着的安全优势。但是，密钥和HSM在整个组织中扩散是很常见的，因此需要一个总体的密钥管理系统来确保正确的密钥始终在正确的时间在正确的位置可用。
欢迎您联系揽阁信息，与我们的安全专家交流和讨论等多关于HSM 和 KMS的内容。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话