شهادة SSL لموقع إلكتروني، والتوقيع الرقمي لبرنامج، ونظام الدفع في بنك: أمان كل واحد منها يعتمد في النهاية على شيء واحد، وهو المفتاح الخاص. إذا سُرق هذا المفتاح، يستطيع المهاجم التوقيع باسمك وفك تشفير حركة بياناتك وانتحال هويتك.
وحدة HSM (Hardware Security Module، وحدة أمان الأجهزة) جهاز مخصص لحماية هذه المفاتيح. نشرح في هذا الدليل ما هي وحدة HSM، وكيف تعمل، وما أنواعها، ومتى أصبحت إلزامية.
ما هي وحدة HSM؟
وحدة HSM جهاز أمني يُنشئ المفاتيح التشفيرية ويخزّنها ويستخدمها داخل عتاد مقاوم للعبث. أهم ما يميزها أن المفتاح الخاص لا يغادر الجهاز أبداً بصيغة نص صريح.
عندما يحتاج تطبيق إلى التوقيع أو فك التشفير، لا يطلب المفتاح من الوحدة. بل يرسل العملية إليها، فتنفذها الوحدة داخلياً وتعيد النتيجة فقط. وحتى إذا اختُرق الخادم، لا يستطيع المهاجم الوصول إلى المفتاح نفسه.
المفتاح المخزّن برمجياً مقابل المفتاح داخل HSM
| مفتاح في ملف / برمجياً | مفتاح داخل HSM | |
|---|---|---|
| مكان المفتاح | على قرص الخادم أو في ذاكرته | داخل عتاد مقاوم للعبث |
| عند اختراق الخادم | يمكن نسخ المفتاح | لا يمكن نسخ المفتاح، يمكن استخدامه فقط |
| الهجمات المادية | لا توجد حماية | تُمحى المفاتيح عند اكتشاف العبث |
| سجل التدقيق | يعتمد على التطبيق | تُسجَّل كل عملية على المفتاح داخل الجهاز |
| التحقق المستقل | غالباً لا يوجد | شهادة FIPS 140-3 / Common Criteria |
كيف تعمل وحدة HSM؟
تمر دورة حياة المفتاح في وحدة HSM عادةً بأربع خطوات:
- إنشاء المفتاح: يُنشأ المفتاح بواسطة مولّد الأرقام العشوائية العتادي داخل الجهاز، ولا يوجد في أي مرحلة كنص صريح في بيئة برمجية.
- التحكم في الوصول: تحدد الأدوار أي تطبيق يمكنه استخدام أي مفتاح. ويمكن أن تتطلب العمليات الحساسة موافقة عدة مسؤولين (مثل «2 من 3»).
- العمليات التشفيرية: تتصل التطبيقات عبر واجهات قياسية (PKCS#11 وMicrosoft CNG/KSP وJava JCE وOpenSSL) وتطلب من الوحدة التوقيع أو التشفير أو فك التشفير.
- النسخ الاحتياطي والتوافر العالي: تُنسخ المفاتيح احتياطياً بصيغة مشفرة لا تفتحها إلا وحدة HSM أخرى، ويمكن تشغيل عدة أجهزة كمجموعة لضمان الخدمة دون انقطاع.
ذو صلة: طريقة عمل Entrust nShield HSM
أنواع وحدات HSM: جهاز شبكي وبطاقة PCIe وUSB وسحابية
لا تأتي وحدات HSM بشكل واحد. يعتمد الاختيار الصحيح على عدد التطبيقات التي ستستخدم الوحدة ومكان تشغيلها.
وحدة HSM شبكية
جهاز يُركَّب في حامل داخل مركز البيانات ويخدم عدة تطبيقات عبر الشبكة. وهو الخيار الأكثر شيوعاً للبنية التحتية للمفاتيح العامة (PKI) وجهات إصدار الشهادات (CA) وتشفير قواعد البيانات وعمليات التوقيع الكثيفة. ينتمي Entrust nShield 5c وThales Luna Network HSM إلى هذه الفئة.
وحدة HSM بطاقة PCIe
بطاقة تُركَّب داخل خادم واحد. ولأنها تعمل بجوار التطبيق مباشرة، فهي توفر زمن استجابة منخفضاً. تناسب الأنظمة المدمجة والخوادم المنفردة ذات الأحمال التشفيرية العالية. ومن أمثلتها Entrust nShield 5s وThales Luna PCIe HSM.
وحدة HSM عبر USB
جهاز صغير محمول. أكثر استخداماته شيوعاً مفاتيح جهة إصدار الشهادات الجذرية غير المتصلة بالشبكة: يُوصَل الجهاز فقط أثناء مراسم المفاتيح ثم يُحفظ في خزنة. ويُستخدم Thales Luna USB HSM لهذا الغرض.
وحدة HSM سحابية (HSM as a Service)
بدلاً من شراء العتاد، تستأجر سعة HSM مخصصة لك في مركز بيانات المزوّد، ويتحمل المزوّد الصيانة والعتاد. ويُعد Entrust nShield as a Service مثالاً على هذا النموذج، كما يقدم كبار مزوّدي الخدمات السحابية خدمات HSM خاصة بهم.
| النوع | الأنسب له | مثال |
|---|---|---|
| HSM شبكية | تطبيقات متعددة، PKI، توافر عالٍ | nShield 5c, Luna Network |
| بطاقة PCIe | خادم واحد، زمن استجابة منخفض | nShield 5s, Luna PCIe |
| USB | جهة جذرية غير متصلة، مراسم المفاتيح | Luna USB |
| سحابية | فرق لا تريد إدارة العتاد | nShield as a Service |
ذو صلة: طرازات Thales Luna HSM
أين تُستخدم وحدات HSM؟
البنية التحتية للمفاتيح العامة وجهات إصدار الشهادات
إذا كنت تدير جهة إصدار شهادات داخلية، فإن مفاتيح الجهة الجذرية والوسيطة هي أساس سلسلة الثقة بأكملها. والاحتفاظ بهذه المفاتيح في وحدة HSM ممارسة قياسية في مشاريع PKI.
توقيع الكود
إذا تسرّب المفتاح الذي توقّع به برامجك، يستطيع المهاجمون توقيع برمجيات خبيثة باسمك. لذلك يشترط CA/Browser Forum منذ 1 يونيو 2023 إنشاء المفاتيح الخاصة لجميع شهادات توقيع الكود وتخزينها على عتاد معتمد وفق FIPS 140-2 المستوى 2 أو Common Criteria EAL 4+ على الأقل. أي أن العتاد لم يعد خياراً في توقيع الكود، بل أصبح إلزامياً.
قد يكفي رمز USB المرفق بالشهادة للفرق التي توقّع نادراً. أما الفرق التي توقّع عدداً كبيراً من الإصدارات تلقائياً في خط CI/CD فتختار عادةً وحدة HSM شبكية أو خدمة توقيع سحابية.
ذو صلة: شهادات توقيع الكود · توقيع الكود السحابي
تشفير قواعد البيانات (TDE)
عند استخدام التشفير الشفاف للبيانات (TDE) في قواعد بيانات مثل Oracle وMicrosoft SQL Server، يمكن الاحتفاظ بمفتاح التشفير الرئيسي في وحدة HSM. وبذلك لا يمكن قراءة ملفات قاعدة البيانات حتى لو سُرقت دون المفتاح.
ملكية المفاتيح في السحابة (BYOK / HYOK)
إذا كنت تحفظ بياناتك في السحابة وتريد الاحتفاظ بالسيطرة على مفاتيح التشفير، يمكنك إنشاء المفتاح في وحدة HSM الخاصة بك ونقله إلى السحابة (BYOK)، أو عدم تسليمه إطلاقاً والاحتفاظ به لديك (HYOK).
حماية مفاتيح TLS
تحتفظ المواقع ذات الحركة الكثيفة والبنوك والجهات الحكومية بالمفاتيح الخاصة لشهادات SSL/TLS في وحدات HSM حتى لا يتسرب المفتاح عند اختراق الخادم.
ذو صلة: شهادات SSL
ما الذي يجب مراعاته عند اختيار وحدة HSM؟
الإجابة عن هذه الأسئلة قبل طلب عرض السعر تسرّع العملية:
- الاعتماد: ما مستوى FIPS 140-3 (أو 140-2) وتقييم Common Criteria للجهاز؟ وما المستوى الذي تطلبه متطلبات الامتثال لديك؟
- الشكل: جهاز شبكي أم بطاقة PCIe أم USB أم خدمة سحابية؟
- حالة الاستخدام: PKI أم توقيع الكود أم TDE أم BYOK أم أنظمة الدفع؟ تحتاج أنظمة الدفع (مثل معالجة رموز PIN) عادةً إلى فئة منفصلة تُسمى «وحدات HSM للدفع».
- الأداء: كم عملية توقيع أو تشفير تحتاج في الثانية؟
- التوافر العالي: جهاز واحد أم مجموعة؟ وهل تحتاج إلى موقع ثانٍ للتعافي من الكوارث؟
- التكامل: ما الواجهة التي تستخدمها تطبيقاتك: PKCS#11 أم CNG/KSP أم JCE أم OpenSSL؟
- المستقبل: هل تخطط للانتقال إلى التشفير ما بعد الكمّي؟ وهل يدعم الجهاز هذا الانتقال عبر تحديث برمجي؟
المصادر: قائمة NIST CMVP للوحدات التشفيرية المعتمدة · متطلبات CA/Browser Forum الأساسية لتوقيع الكود
Entrust nShield أم Thales Luna؟
كلاهما عائلتا HSM واسعتا الانتشار حاصلتان على تقييمات FIPS المستوى 3 وCommon Criteria. ويعتمد الاختيار عادةً على بنيتك التحتية الحالية والشكل الذي تحتاجه ومنظومة التكامل:
- Entrust nShield: إدارة المفاتيح ببنية Security World؛ جهاز شبكي (5c) وبطاقة PCIe (5s) وخدمة (nShield as a Service).
- Thales Luna: تقسيم الجهاز الواحد إلى أقسام مستقلة لخدمة تطبيقات وفرق مختلفة؛ خيارات شبكية وPCIe وUSB.
يمكننا أن نحدد معاً الخيار الأنسب لحالة استخدامك.
ذو صلة: اطلب عرض سعر لوحدة HSM
أسئلة شائعة حول وحدات HSM
ما الفرق بين وحدة HSM ورمز USB؟
رمز USB جهاز صغير يخزّن مفتاح مستخدم واحد، وغالباً ما يُرفق مع شهادات توقيع الكود. أما وحدة HSM فجهاز مؤسسي يدير مفاتيح وتطبيقات عديدة، ويوفر أداءً عالياً، ويمكن تشغيله ضمن مجموعة، ويحتفظ بسجل تدقيق مفصّل.
ماذا يعني FIPS 140-3 المستوى 3؟
FIPS 140-3 هو معيار الأمان الصادر عن NIST الأمريكي للوحدات التشفيرية. يتطلب المستوى 3 حماية مادية من العبث، ومحو المفاتيح عند اكتشاف العبث، وتحكماً في الوصول قائماً على الهوية. وقد حلّ محل FIPS 140-2.
هل وحدة HSM إلزامية لتوقيع الكود؟
العتاد إلزامي، لكن ذلك لا يعني دائماً جهاز HSM. فبحسب قواعد CA/Browser Forum يجب حفظ مفاتيح توقيع الكود على عتاد معتمد وفق FIPS 140-2 المستوى 2 أو Common Criteria EAL 4+ على الأقل، وقد يكون ذلك رمز USB أو وحدة HSM أو خدمة توقيع سحابية.
هل وحدة HSM السحابية آمنة؟
في وحدة HSM السحابية تبقى المفاتيح في عتاد معتمد وفق FIPS، والفرق أن الجهاز موجود في مركز بيانات المزوّد. وهي تناسب الفرق التي لا تريد إدارة العتاد وتريد البدء بسرعة. وإذا كانت لديك متطلبات بشأن مكان حفظ البيانات، فاحرص على تحديد منطقة الخدمة في مرحلة عرض السعر.
كم تبلغ تكلفة وحدة HSM؟
يعتمد السعر على الطراز ومستوى الأداء وحجم المجموعة والتراخيص ومدة الدعم. لذلك لا تُباع وحدات HSM بسعر ثابت، بل بعرض سعر خاص بكل مشروع.
الخلاصة
تفصل وحدة HSM مفاتيحك الخاصة عن خوادمك وتحمي أهم أصولك من الهجمات المادية والمنطقية. وقد أصبح العتاد إلزامياً في توقيع الكود، كما أصبحت وحدات HSM معياراً شائعاً في PKI وتشفير قواعد البيانات وإدارة المفاتيح السحابية.
تعدّ DATASSL عروض أسعار لحلول Entrust nShield وThales Luna وفق حالة استخدامك. أخبرنا باختصار عن مشروعك، وسنختار معاً الطراز والإعداد المناسبين.
ذو صلة: عرض سعر Entrust nShield HSM · عرض سعر Thales Luna HSM
المراجعات
لا توجد تعليقات بعد. كن أول من يعلّق!
اكتب تقييمًا