发布日期：2025-12-13 浏览次数：
HSM，全称Hardware Security Module，中文名称：硬件安全模块、加密机、密码机。是一种专用的硬件设备，通过PCIe拓展插槽或外部形式连接到计算机或服务器，主要用于保护和管理加密密钥，并提供高效的密码学操作。对于HSM的选择，取决于具体应用场景需求，揽阁信息通过列出一些潜在的标准，提供一些通用的HSM选择建议。
在分析HSM供应商时，首先要考虑他们可提供的产品组合和实施过程中的支持，尤其是交流过程中的本地化服务。首先，确保供应商提供多样化的 HSM 解决方案，并支持各种应用。丰富的 通用和支付应用 支持意味着可以支持不同部署模式（本地部署、云服务和混合部署）下的任意固件和软件组合。这将有助于您选择适合公司需求的解决方案。
HSM作为专用设备，其产品特性和使用经验，都需要花费大量的时间进行学习和实践。绝大多数客户对于HSM都较为陌生，因此交流过程中本地化的服务，可确保语言体系的一致性，降低沟通成本
HSM的技术指标是满足项目需求的基础，通常请考虑以下几项指标：
Microsoft MS CSP/CNG：在使用 Windows 时，Microsoft“标准”API 是连接到 HSM 的最简单方法；
JCA/JCE支持情况：标准 Java 开发人员。
PKCS#11：作为“行业标准”，它也存在一些缺陷，例如已知的安全问题和厂商专有扩展。注意：厂商专有扩展或机制是针对特定用例的 API 扩展，并非 PKCS#11 标准的一部分。这会增加更换厂商时的成本。
OpenSSL：由于OpenSSL的开源性，其应用相当广泛，HSM对于OpenSSL的支持也相当重要。
选择与您的使用场景和操作系统兼容的 API。如果您使用的是 Microsoft 操作系统，请选择 CNG。如果您使用的应用程序支持 PKCS#11，请选择 PKCS#11。如有需要，可向供应商进行咨询指导或查阅操作指南。
以下几项，是常见的需要了解的信息：
操作系统/硬件支持 — 这需要考虑多个问题。首先是：嵌入式卡（PCIe驱动程序）支持哪些操作系统？其次是：网络连接的HSM支持哪些操作系统？此外，管理工具（例如图形用户界面/命令行）支持哪些操作系统？
HSM管理 — HSM是否可以远程管理？哪些功能可以远程激活和控制？
可编程性 — 您的大部分开发工作都将在 API 的另一端进行，但有时能够编写在设备上运行的应用程序会很有用，这样可以提高灵活性或速度，并指定您的 API。
物理安全 — 在了解这项信息之前，请自问：“你的解决方案需要具备多强的抵御直接物理攻击的能力？” 如果出于某种原因，你认为这一点尤为重要，那么你可能需要寻找“主动防篡改检测和响应”方案，而不仅仅是“被动防篡改和证据收集”方案。或者，就合规认证而言，您需要选择哪种认证？在国际合规上主流选择的合规认证为：FIPS 140-2 Level 3、FIPS 140-3 Level 3、CC EAL4+ 。
算法 — HSM 是否支持您想要通过所选 API 使用的加密算法？
身份验证选项 — 在对密钥操作之前，您希望使用简单的密码，还是多因素的身份验证方式对人员进行身份验证？HSM是否满足您的需求？
策略选项 — 您可能希望能够定义策略，例如控制是否：密钥可以从 HSM 导出（封装或未加密）；密钥只能用于签名/加密/解密/…；签名需要身份验证，但验签不需要身份验证等。
审计功能 — 包括类似 HSM 的操作（生成密钥、使用密钥内容）以及处理连接问题或崩溃。将日志集成到您的监控系统（syslog/snmp/其他网络可访问的——或者至少是非专有的——输出）有多容易？
在当前的社会，传统行业和新兴行业都在面临法律要求、合规要求，由于行业特性，对于HSM的部署环境的要求也变得多种多样，因此选择一款可以灵活部署的HSM，可将密钥在各环境中安全传导，是解决当前需求以及扩展未来业务场景的重要考量之一。HSM的部署可分为以下几种方式：
本地部署提供以下选项：
网络式（Network HSM）：适用于更大规模的部署，特别是多个应用程序/服务器/客户端需要使用 HSM 服务的情况。
网络拓展式（支持多分区）：适用于面对多用户多项目场景中，密钥分开存储管理的需求。可通过在一套本地部署的集群化HSM中，为不同的客户、项目、应用创建独立分区，各分区独立管理、独立访问。可实现多租户的业务模式。
嵌入式（PCIe HSM）：网络连接型 HSM 相比，这是一种更具成本效益的解决方案。值得注意的是，采用这种产品不能只关注PCIe HSM的采购成本，还需考虑其他成本，如：配套服务器的采购成本、长期运维的技术成本。采用PCIe HSM需要考虑的因素较多，欢迎联系揽阁信息进行详细交流和讨论。
Cloud HSM是是云服务商提供的基于硬件的加密与密钥管理服务，凭借硬件级防护契合高安全需求场景，同时也受成本、管理等因素制约。其具有以下特性：
优势
硬件级安全防护：它基于经权威机构认证的硬件芯片实现加密算法。国内云服务商通常满足国密标准，海外云服务商满足国际标准，例如揽阁信息提供的 Luna Cloud HSM 是基于拥有FIPS 140-2 Level 3（未来将升级到FIPS 140-3 Level 3）认证的硬件HSM构建的解决方案。
弹性灵活且运维便捷：相比传统物理 HSM 设备需以整机扩容、资源易浪费的问题，Cloud HSM 借助虚拟化技术，能依据业务高峰或低谷弹性增减虚拟实例。同时云服务商负责硬件的部署、监控、补丁更新和维护等工作，用户无需组建专业运维团队维护硬件，大幅降低了运维成本与难度。
劣势
使用成本高昂：Cloud HSM 的硬件成本和运营成本均较高。例如 AWS 的 Cloud HSM 在东京区域每小时费用约 1.81 美元，一台实例每月成本超 1300 美元，还不包含额外的网络与存储费用。此外，其密钥容量有限，若业务需大规模扩展密钥数量，可能要额外增加实例，进一步推高成本。
管理与操作门槛高：不同于全托管的 KMS 服务，部分 Cloud HSM 需用户自主负责密钥的备份、恢复和高可用部署等核心操作。这就要求用户具备专业的密码学知识和密钥管理能力，对中小企业而言，上手难度较大，若操作不当还可能引发密钥丢失等安全隐患。
依赖云服务商且存在信任风险：Cloud HSM 部署在云服务商的基础设施上，用户需信任服务商的物理安全防护和逻辑隔离措施。尽管服务商宣称租户数据相互隔离，但一旦云服务商的基础设施出现漏洞，或遭遇内部违规操作，用户的加密密钥和数据就可能面临安全威胁，且这种风险用户难以自主掌控。
性能易受网络影响：Cloud HSM 的加密运算和密钥调用依赖网络传输，若云网络出现延迟、波动等问题，会直接影响加密操作的响应速度。相比部署在本地的传统 HSM，其性能稳定性易受外部网络环境干扰，对于对实时性要求极高的高频交易等场景可能存在一定限制。
综合考虑建议
在选择 Cloud HSM 时，为保障密钥的自主可控，建议采用和实施 BYOK 方案，用以规避 Cloud HSM 天然自带的部分劣势。此外 HSM供应商最好可提供混合部署方案，例如借助揽阁信息提供的 Luna HSM混合方案，您可以灵活地在本地环境、云端和混合环境之间自由切换，进行密钥的克隆、备份等操作，并保持对密钥的控制权。
认证 — 这是最容易被误解的领域之一。如果您购买的是 FIPS 认证产品，它必须切换到所谓的 FIPS 模式。FIPS 模式意味着对 API 级别和算法（密钥长度、用途、密钥属性等）的限制。请问问自己：您实际需要哪个级别？出于监管方面的考虑，您需要什么级别？
FIPS 140-2 — 是美国国家标准与技术研究院 (NIST) 根据 CMVP 制定的认证方案。该框架的优势在于，它能够确认 NIST 认可的算法运行正常，并且其实现已通过运行时已知答案测试。就物理安全而言，FIPS 140-2 Level 3 安全认证仅表明产品符合物理防护基线要求，除此之外别无其他。FIPS 140-2认证体系将于2026年9月21日移入历史列表。
FIPS 140-3 — 它是 FIPS 140-2 的升级版，基于国际标准 ISO/IEC 19790 和 ISO/IEC 24759，并增强了安全措施，如引入条件算法自检（仅在算法使用时进行检测）和更严格的随机数生成器熵源检测，以提升性能与安全性。?
Common Criteria（通用标准/CC） — 产品评估在提供保障方面可能存在较大差异：请阅读安全目标！目前，只有一套比较完善的 HSM 保护配置文件，因此您至少需要阅读安全问题定义（威胁和假设），以便了解评估的内容。
其他认证体系 — 例如PCI-HSM、eIDSA、NATO或INMETRO、NITES（新加坡CC认证）等各地区认证，如果您身处相关行业，这些体系将非常有用。除了认证本身，还要索取与您所在行业或政府部门相关的具体参考资料。
供应商提供哪些支持？不要只考虑不同的选项类型，还要询问他们的信誉，并进行一些测试！
供应商提供哪些类型的集成服务？如果您有复杂的需求，让供应商参与配置/编程过程可能很有帮助。
目前的规划是怎样的？您是否了解未来几年可能会出现哪些问题？
原产国（设计和制造）是哪里？
成本 — 每单位的成本是多少？支持和维护成本是多少？单位定价包含哪些内容？是否按API等付费？
交货周期 — 务必实事求是！如果您觉得需要立即使用HSM，那您可能低估了 HSM 的复杂性。HSM 并非批量生产，需要一定的制造时间才能确保质量。通过与HSM供应商充分交流和沟通，了解交货周期和供货商可提供的协助，才能有效掌握整体项目周期。
揽阁信息是Thales的重要合作伙伴，其团队成员拥有20年的从业经验，可在您的HSM选择、测试、交付、运维、方案制作等各个方面提供帮助，欢迎联系我们，深入交流您的需求。
揽阁信息 · 值得您信赖的信息安全顾问！
沪公网安备31011202021337号 网站地图
友情链接： Thales官网 芯片产品网站 服务热线
