HSM Nedir? Donanım Güvenlik Modülü Hakkında Bilmeniz Gerekenler

Bir web sitesinin SSL sertifikası, bir yazılımın kod imzası ya da bir bankanın ödeme sistemi: hepsinin güvenliği sonunda tek bir şeye dayanır, özel anahtara. Bu anahtar çalınırsa saldırgan sizin adınıza imza atabilir, trafiğinizi çözebilir, kimliğinize bürünebilir.

HSM (Hardware Security Module, donanım güvenlik modülü) bu anahtarları korumak için tasarlanmış özel bir cihazdır. Bu rehberde HSM nedir, nasıl çalışır, hangi türleri vardır ve hangi durumlarda artık zorunludur, sırasıyla anlatıyoruz.

HSM nedir?

HSM, kriptografik anahtarları kurcalamaya dayanıklı bir donanımın içinde üreten, saklayan ve kullanan bir güvenlik cihazıdır. En önemli özelliği şudur: özel anahtar cihazdan düz metin olarak hiç çıkmaz.

Bir uygulama imza atmak ya da veri çözmek istediğinde anahtarı HSM'den istemez. İşlemi HSM'e gönderir; HSM işlemi kendi içinde yapar ve yalnızca sonucu döndürür. Sunucu ele geçirilse bile saldırgan anahtarın kendisine ulaşamaz.

Yazılımda saklanan anahtar ile HSM arasındaki fark

HSM nasıl çalışır?

Bir HSM'in yaşam döngüsü genellikle dört adımdan oluşur:

1. Anahtar üretimi: Anahtar, cihazın içindeki donanım tabanlı rastgele sayı üreteciyle oluşturulur. Hiçbir aşamada bir yazılım ortamında düz metin olarak bulunmaz.
2. Erişim denetimi: Hangi uygulamanın hangi anahtarı kullanabileceği rollerle tanımlanır. Kritik işlemler için birden fazla yöneticinin onayı (örneğin "3 kişiden 2'si") istenebilir.
3. Kriptografik işlem: Uygulamalar standart arayüzlerle (PKCS#11, Microsoft CNG/KSP, Java JCE, OpenSSL) HSM'e bağlanır ve imza, şifreleme, şifre çözme gibi işlemleri yaptırır.
4. Yedekleme ve yüksek erişilebilirlik: Anahtarlar, yalnızca başka bir HSM'in açabileceği şifreli biçimde yedeklenir. Birden çok cihaz küme olarak çalışarak kesintisiz hizmet verir.

İlgili: Entrust nShield HSM'in çalışma adımları

HSM türleri: ağ cihazı, PCIe kart, USB ve bulut

HSM'ler tek bir biçimde gelmez. Doğru seçim, kaç uygulamanın HSM kullanacağına ve nerede çalışacağına bağlıdır.

Ağ HSM cihazı

Veri merkezinde rafa monte edilen ve ağ üzerinden birden çok uygulamaya hizmet veren cihazdır. PKI, sertifika otoritesi (CA), veritabanı şifreleme ve yüksek hacimli imza işlemleri için en yaygın seçimdir. Entrust nShield 5c ve Thales Luna Network HSM bu gruptadır.

PCIe kart HSM

Tek bir sunucunun içine takılan karttır. Uygulamaya en yakın noktada çalıştığı için düşük gecikme sağlar. Gömülü sistemler ve tek sunucuda yoğun kriptografi gereken senaryolar için uygundur. Entrust nShield 5s ve Thales Luna PCIe HSM örnektir.

USB HSM

Taşınabilir, küçük bir cihazdır. En sık kullanım alanı çevrimdışı kök CA anahtarlarıdır: cihaz yalnızca anahtar töreni sırasında bağlanır, sonra kasada saklanır. Thales Luna USB HSM bu amaçla kullanılır.

Bulut HSM (HSM as a Service)

Donanım satın almadan, sağlayıcının veri merkezinde size ayrılmış HSM kapasitesi kiralarsınız. Bakım ve donanım yükü sağlayıcıdadır. Entrust nShield as a Service bu modelin örneğidir; büyük bulut sağlayıcılarının da kendi HSM hizmetleri vardır.

İlgili: Thales Luna HSM modelleri

HSM nerelerde kullanılır?

PKI ve sertifika otoritesi

Kurum içi bir sertifika otoritesi işletiyorsanız, kök ve ara CA anahtarları tüm güven zincirinin temelidir. Bu anahtarların HSM'de tutulması, PKI projelerinde standart uygulamadır.

Kod imzalama

Yazılımınızı imzaladığınız anahtar sızarsa, saldırganlar zararlı yazılımı sizin adınızla imzalayabilir. Bu yüzden CA/Browser Forum, 1 Haziran 2023'ten itibaren tüm kod imzalama sertifikalarının özel anahtarlarının en az FIPS 140-2 Seviye 2 veya Common Criteria EAL 4+ doğrulamalı donanımda üretilmesini ve saklanmasını şart koşar. Yani kod imzalama için donanım artık seçenek değil, zorunluluktur.

Az sayıda imza atan ekipler için sertifikayla birlikte gelen bir USB token yeterli olabilir. CI/CD hattında çok sayıda derlemeyi otomatik imzalayan ekipler ise ağ HSM'i ya da bulut tabanlı imzalama hizmetini tercih eder.

İlgili: Kod imzalama sertifikaları · Bulut kod imzalama

Veritabanı şifreleme (TDE)

Oracle, Microsoft SQL Server gibi veritabanlarında saydam veri şifreleme (TDE) kullanılırken ana şifreleme anahtarı HSM'de tutulabilir. Böylece veritabanı dosyaları çalınsa bile anahtar olmadan okunamaz.

Bulutta anahtar sahipliği (BYOK / HYOK)

Verilerinizi bulutta tutarken şifreleme anahtarlarının kontrolünü elinizde tutmak istiyorsanız, anahtarı kendi HSM'inizde üretip buluta aktarabilir (BYOK) ya da hiç aktarmadan kendi tarafınızda tutabilirsiniz (HYOK).

TLS anahtarlarının korunması

Yüksek trafikli siteler, bankalar ve kamu kurumları SSL/TLS sertifikalarının özel anahtarlarını HSM'de tutarak sunucu ihlallerinde anahtar sızıntısını önler.

İlgili: SSL sertifikaları

HSM seçerken nelere dikkat edilmeli?

HSM teklifi istemeden önce şu soruların cevabını netleştirmek süreci hızlandırır:

• Sertifikasyon: Cihazın FIPS 140-3 (veya 140-2) seviyesi ve Common Criteria değerlendirmesi nedir? Projenizin uyumluluk gereksinimi hangi seviyeyi istiyor?
• Biçim: Ağ cihazı mı, PCIe kart mı, USB mi, bulut hizmeti mi?
• Kullanım senaryosu: PKI, kod imzalama, TDE, BYOK, ödeme sistemleri mi? Ödeme sistemleri (PIN işleme gibi) genellikle ayrı bir "ödeme HSM'i" sınıfı gerektirir.
• Performans: Saniyede kaç imza veya şifreleme işlemi gerekiyor?
• Yüksek erişilebilirlik: Tek cihaz mı, küme mi? Felaket kurtarma için ikinci bir lokasyon gerekiyor mu?
• Entegrasyon: Uygulamalarınız hangi arayüzü kullanıyor? PKCS#11, CNG/KSP, JCE, OpenSSL?
• Gelecek: Kuantum sonrası kriptografiye geçiş planınız var mı? Cihaz bu geçişi yazılım güncellemesiyle destekliyor mu?

Kaynaklar: NIST CMVP doğrulanmış kriptografik modül listesi · CA/Browser Forum kod imzalama temel gereksinimleri

Entrust nShield mi, Thales Luna mı?

İkisi de sektörde yaygın kullanılan, FIPS Seviye 3 ve Common Criteria değerlendirmelerine sahip HSM aileleridir. Seçim genellikle mevcut altyapınıza, ihtiyaç duyduğunuz biçime ve entegrasyon ekosistemine göre yapılır:

• Entrust nShield: Security World mimarisiyle anahtar yönetimi; ağ cihazı (5c), PCIe kart (5s) ve hizmet olarak (nShield as a Service) seçenekleri.
• Thales Luna: Tek cihazı bağımsız bölümlere (partition) ayırarak farklı uygulama ve ekiplere hizmet verme; ağ, PCIe ve USB seçenekleri.

Hangisinin size uyduğunu kullanım senaryonuza göre birlikte netleştirebiliriz.

İlgili: HSM için teklif isteyin

HSM hakkında sık sorulan sorular

HSM ile USB token arasındaki fark nedir?

USB token, tek bir kullanıcının anahtarını saklayan küçük bir donanımdır ve kod imzalama sertifikalarıyla birlikte sık verilir. HSM ise çok sayıda anahtarı ve uygulamayı yöneten, yüksek performanslı, kümelenebilen ve ayrıntılı denetim kaydı tutan kurumsal bir cihazdır.

FIPS 140-3 Seviye 3 ne anlama gelir?

FIPS 140-3, ABD NIST'in kriptografik modüller için güvenlik standardıdır. Seviye 3; kurcalamaya karşı fiziksel koruma, kurcalama algılandığında anahtarların silinmesi ve kimlik tabanlı erişim denetimi ister. FIPS 140-2'nin yerini almıştır.

Kod imzalama için HSM zorunlu mu?

Donanım zorunludur, ama bu her zaman bir HSM cihazı anlamına gelmez. CA/Browser Forum kurallarına göre kod imzalama anahtarları en az FIPS 140-2 Seviye 2 veya Common Criteria EAL 4+ doğrulamalı donanımda bulunmalıdır. Bu bir USB token, bir HSM ya da bulut tabanlı imzalama hizmeti olabilir.

Bulut HSM güvenli mi?

Bulut HSM'de anahtarlar yine FIPS doğrulamalı donanımda tutulur; fark, cihazın sağlayıcının veri merkezinde olmasıdır. Donanım yönetmek istemeyen ve hızlı devreye almak isteyen ekipler için uygundur. Verinin hangi ülkede tutulduğu gibi gereksinimleriniz varsa hizmet bölgesini teklif aşamasında netleştirmek gerekir.

HSM fiyatı ne kadar?

Fiyat; model, performans seviyesi, küme büyüklüğü, lisanslar ve destek süresine göre değişir. Bu yüzden HSM'ler sabit fiyatla değil, projeye göre teklifle satılır.

Sonuç

HSM, özel anahtarlarınızı sunucularınızdan ayırarak en kritik varlığınızı fiziksel ve mantıksal saldırılara karşı korur. Kod imzalamada artık donanım zorunlu; PKI, veritabanı şifreleme ve bulut anahtar yönetiminde ise HSM yaygın bir standart haline geldi.

DATASSL olarak Entrust nShield ve Thales Luna HSM çözümleri için kullanım senaryonuza uygun teklif hazırlıyoruz. Projenizi kısaca anlatın; doğru modeli ve yapılandırmayı birlikte belirleyelim.

İlgili: Entrust nShield HSM teklifi · Thales Luna HSM teklifi