硬件安全模块（HSM）是一种计算机硬件，可以在计算机内部扩充或作为独立设备在网络上使用。作为外部网络设备，它通过网络电缆连接。当在计算机或服务器内部扩充时，它是直接连接到计算机或服务器主板的PCIe卡。

HSM旨在保护和管理用于强身份验证目的的数字密钥，以及处理交易和执行通用功能所需的专用功能。HSM提供逻辑和物理保护，例如密码保护和防篡改外壳，以保护关键数据不被未经授权的人披露或访问。

HSM的作用

HSM可以在任何利用数字密钥来保护所述密钥的应用中使用。这些密钥通常具有很高的价值，并且需要保密，因为如果泄露这些密钥，可能会对密钥的所有者产生重大的负面影响。

HSM如何使用？

HSM执行以下功能：

• 生成安全加密密钥
  

• 为主密钥提供安全加密密钥存储

• 密钥管理

• 使用加密和敏感数据执行加密和数字签名

• 完成应用程序服务器的非对称和对称加密

HSM支持对称和非对称密码。诸如数字签名和证书颁发机构之类的应用程序通常使用非对称密钥对和公共密钥加密中使用的证书。诸如财务支付系统和数据加密之类的应用程序也依赖于对称密钥的使用。

PKI环境

PSM环境中的证书颁发机构和注册机构可以使用HSM生成，存储和处理非对称密钥对。这些设备必须具有以下功能：

• 逻辑和物理高级保护
  

• 安全密钥备份

• 完整的审核和日志跟踪

• 多部分用户授权架构

卡支付系统

支付卡行业使用专门的HSM。这些设备支持用于处理符合行业标准的交易的通用功能和专用功能。交易授权和支付卡个性化是支付卡行业中使用的典型应用程序。密码学用于：

• PIN码验证

• 保护机密信息（例如客户PIN）

• 维护MAC和其他敏感数据的完整性和真实性

• 卡安全卡代码验证

• 通过EMV支持crypto-API

• 执行安全密钥管理

• 生成磁条卡（PVV，CVV）的数据

• 生成卡密钥集并支持卡个性化过程

对于银行和零售金融服务市场，HSM必须遵守支付卡行业安全标准委员会，ISO和ANSI X9制定的标准。

这些设备的安全性对于保护经常面临网络攻击风险的零售电子支付系统至关重要。但是，HSM也总是有受到攻击的风险。

HSM通常面临的攻击风险

针对用于电子支付的HSM有许多攻击方案。最令人关注的是：

• 渗透，涉及HSM的未经授权的开放或物理穿孔，以访问其敏感数据（如加密密钥）。
  

• 监视电磁（EM）辐射，定时差和功耗以及其他侧信道攻击，以查找存储在HSM中的敏感信息。

• 操纵，通过将HSM下环境压力，与输入序列轰击它，或者用它的外部输入的干扰导致它，如果它的“测试模式”被触发泄露敏感信息，并允许攻击者获得对HSM的服务进行未经授权的访问。

• 修改，涉及对HSM的逻辑或物理特性的未经授权的更改，允许设备继续运行，但是只要进行了适当的修改，它就会继续公开保护信息，例如放置在设备之间的PIN焊盘覆盖层。 PIN入口点和PIN加密点。

• 替换，包括用看起来像原始设备的另一台设备替换一台设备，该设备看起来可能具有某些逻辑特征，但其中还包含一些未授权的功能。

HSM如何防御这些攻击？

HSM需要结合三个因素共同防御攻击：

1. 设备特征
   

2. 设备管理

3. 环境

HSM具有逻辑和物理安全保护，可以阻止上述攻击情况。它们的物理安全特性包括：

1. 防篡改
   

2. 篡改证据

3. 篡改响应

ANSI x9.24-1-2017标准

ANSI x9.24-1-2017标准由美国国家标准协会的标准委员会X9发布。版本-2017已于2017年6月8日批准。

它解决并标准化了与零售金融服务的安全密码设备（SCD）相关的对称密钥管理。 

安全密码设备是提供“ 物理和逻辑上受保护的密码服务和存储 ”的设备。因此，它适用于硬件安全模块。 

ANSI标准在第3章中指出，它应与ISO 13491-2016结合使用-所有部分，金融服务–安全密码设备。

ISO 13491对HSM有什么要求？

ISO 13491要求HSM必须具有所有三个物理安全特征的组合，以确保所需的安全性。在需要时，可能需要其他物理特征，以防止被动攻击攻击敏感数据。

安全密码设备管理的目的是防止HSM在其整个生命周期中未经授权地更改其特性。这是通过在设备的生命周期内在设备上放置外部控件来实现的。

这些控件包括：

• 安全措施

• 密钥管理方法

• 操作程序

HSM环境的安全性介于最小和高度受控之间。应根据设备的物理风险和所保护的数据类型采取适当的控制措施来阻止或检测访问。

点击此处，查看支持和符合ANSI X9.24标准的payShield 10K HSM（金融加密机）

揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

• 数据库访问控制：揽阁LGPAC系统

• 通用HSM：Luna HSM、ProtectServer HSM

• 支付HSM：payShield 10K

• KMS产品：CipherTrust Manager、Vormetric、KeySecure

• 数据保护：应用层数据加密、数据库加密、令牌化（Tokenization）、透明加密

• 网络传输加密：Thales High Speed Encryption（HSE）

• 身份认证：STA、SAS、USB令牌、智能卡、OTP令牌、手机令牌、虚拟智能卡、FIDO2、读卡器

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！

相关阅读

• 育碧（Ubisoft）被黑客攻击48小时：900GB数据险遭泄漏

• 首席信息安全官：用战略性思考击败坏人

• 符合NIST零信任安全性准则

• 为什么Infosec合规性治理应成为CISO的头等大事

• 金融机构的密码学：CEO与CISO需要相互理解以降低市场变化带来的管理风险成本