HSM дегеніміз не? Аппараттық қауіпсіздік модулі туралы нұсқаулық

Сайттың SSL сертификаты, бағдарламаның код қолтаңбасы, банктің төлем жүйесі: олардың әрқайсысының қауіпсіздігі түптеп келгенде бір нәрсеге байланысты, ол — жабық кілт. Бұл кілт ұрланса, шабуылдаушы сіздің атыңыздан қол қоя алады, трафигіңізді шифрдан шығара алады және сіздің атыңызды жамылып әрекет ете алады.

HSM (Hardware Security Module, аппараттық қауіпсіздік модулі) — осы кілттерді қорғауға арналған арнайы құрылғы. Бұл нұсқаулықта HSM дегеніміз не, ол қалай жұмыс істейді, қандай түрлері бар және қай жағдайда міндетті болып саналатынын түсіндіреміз.

HSM дегеніміз не?

HSM — криптографиялық кілттерді бұзуға төзімді аппараттық құрылғының ішінде жасайтын, сақтайтын және пайдаланатын қауіпсіздік құрылғысы. Оның басты ерекшелігі: жабық кілт құрылғыдан ешқашан ашық мәтін түрінде шықпайды.

Қолданба бір нәрсеге қол қоюы немесе шифрды ашуы қажет болғанда, кілтті HSM-нен сұрамайды. Ол операцияны HSM-ге жібереді, HSM оны өз ішінде орындап, тек нәтижені қайтарады. Сервер бұзылса да, шабуылдаушы кілттің өзіне қол жеткізе алмайды.

Бағдарламада сақталған кілт пен HSM ішіндегі кілттің айырмашылығы

HSM қалай жұмыс істейді?

HSM-дегі кілттің өмірлік циклі әдетте төрт қадамнан тұрады:

1. Кілтті жасау: Кілт құрылғының ішіндегі аппараттық кездейсоқ сандар генераторымен жасалады. Ол ешбір кезеңде бағдарламалық ортада ашық мәтін түрінде болмайды.
2. Қолжетімділікті басқару: Қай қолданба қай кілтті пайдалана алатынын рөлдер анықтайды. Маңызды операциялар үшін бірнеше әкімшінің келісімі талап етілуі мүмкін (мысалы, «3-тен 2»).
3. Криптографиялық операциялар: Қолданбалар стандартты интерфейстер (PKCS#11, Microsoft CNG/KSP, Java JCE, OpenSSL) арқылы қосылып, HSM-ге қол қою, шифрлау немесе шифрды ашу операцияларын орындатады.
4. Сақтық көшірме және жоғары қолжетімділік: Кілттердің сақтық көшірмесі тек басқа HSM аша алатын шифрланған түрде жасалады. Бірнеше құрылғы кластер ретінде жұмыс істеп, үздіксіз қызмет көрсете алады.

Қатысты: Entrust nShield HSM қалай жұмыс істейді

HSM түрлері: желілік құрылғы, PCIe карта, USB және бұлт

HSM бір ғана түрде шығарылмайды. Дұрыс таңдау HSM-ді қанша қолданба пайдаланатынына және олардың қайда жұмыс істейтініне байланысты.

Желілік HSM құрылғысы

Деректер орталығында сөреге орнатылатын және желі арқылы бірнеше қолданбаға қызмет көрсететін құрылғы. Ол PKI, сертификаттау орталықтары (CA), дерекқорды шифрлау және көп көлемді қол қою операциялары үшін ең жиі таңдалады. Entrust nShield 5c және Thales Luna Network HSM осы топқа жатады.

PCIe карта түріндегі HSM

Бір сервердің ішіне орнатылатын карта. Қолданбаға ең жақын жерде жұмыс істейтіндіктен, кідірісі төмен болады. Ендірілген жүйелер мен криптографиялық жүктемесі жоғары жалғыз серверлерге қолайлы. Мысалдары: Entrust nShield 5s және Thales Luna PCIe HSM.

USB HSM

Шағын, тасымалданатын құрылғы. Ең жиі қолданылатын саласы — желіге қосылмаған түбірлік CA кілттері: құрылғы тек кілт рәсімі кезінде қосылады, содан кейін сейфте сақталады. Бұл мақсатта Thales Luna USB HSM қолданылады.

Бұлттық HSM (HSM as a Service)

Құрылғы сатып алудың орнына, провайдердің деректер орталығында сізге бөлінген HSM қуатын жалға аласыз. Қызмет көрсету мен құрылғыға провайдер жауап береді. Entrust nShield as a Service — осы модельдің мысалы; ірі бұлттық провайдерлердің де өз HSM қызметтері бар.

Қатысты: Thales Luna HSM үлгілері

HSM қай жерде қолданылады?

PKI және сертификаттау орталықтары

Егер ішкі сертификаттау орталығын басқарсаңыз, түбірлік және аралық CA кілттері бүкіл сенім тізбегінің негізі болып табылады. Бұл кілттерді HSM-де сақтау PKI жобаларында стандартты тәжірибе.

Кодқа қол қою

Бағдарламаңызға қол қоятын кілт жария болса, шабуылдаушылар зиянды бағдарламаға сіздің атыңыздан қол қоя алады. Сондықтан CA/Browser Forum 2023 жылғы 1 маусымнан бастап барлық код қолтаңбасы сертификаттарының жабық кілттерін кемінде FIPS 140-2 2-деңгейі немесе Common Criteria EAL 4+ бойынша расталған құрылғыда жасауды және сақтауды талап етеді. Яғни кодқа қол қою үшін аппараттық құрылғы енді таңдау емес, міндет.

Сирек қол қоятын топтар үшін сертификатпен бірге берілетін USB токен жеткілікті болуы мүмкін. CI/CD желісінде көптеген жинақтарға автоматты түрде қол қоятын топтар әдетте желілік HSM-ді немесе бұлттық қол қою қызметін таңдайды.

Қатысты: Код қолтаңбасы сертификаттары · Бұлттық код қолтаңбасы

Дерекқорды шифрлау (TDE)

Oracle, Microsoft SQL Server сияқты дерекқорларда деректерді мөлдір шифрлау (TDE) қолданылғанда, негізгі шифрлау кілтін HSM-де сақтауға болады. Сонда дерекқор файлдары ұрланса да, кілтсіз оларды оқу мүмкін болмайды.

Бұлттағы кілтке иелік ету (BYOK / HYOK)

Деректеріңізді бұлтта сақтап, шифрлау кілттерін өз бақылауыңызда ұстағыңыз келсе, кілтті өз HSM-іңізде жасап, бұлтқа тасымалдай аласыз (BYOK) немесе мүлде бермей, өзіңізде сақтай аласыз (HYOK).

TLS кілттерін қорғау

Трафигі жоғары сайттар, банктер және мемлекеттік мекемелер серверге шабуыл жасалғанда кілт жария болмауы үшін SSL/TLS сертификаттарының жабық кілттерін HSM-де сақтайды.

Қатысты: SSL сертификаттары

HSM таңдағанда неге назар аудару керек?

Баға ұсынысын сұрамас бұрын мына сұрақтарға жауап беру процесті жылдамдатады:

• Сертификаттау: Құрылғының FIPS 140-3 (немесе 140-2) деңгейі мен Common Criteria бағасы қандай? Сіздің сәйкестік талаптарыңыз қай деңгейді талап етеді?
• Пішіні: Желілік құрылғы ма, PCIe карта ма, USB ме, әлде бұлттық қызмет пе?
• Қолдану сценарийі: PKI, кодқа қол қою, TDE, BYOK, төлем жүйелері ме? Төлем жүйелері (мысалы, PIN өңдеу) әдетте «төлем HSM-і» деп аталатын бөлек сыныпты қажет етеді.
• Өнімділік: Секундына қанша қол қою немесе шифрлау операциясы қажет?
• Жоғары қолжетімділік: Бір құрылғы ма, әлде кластер ме? Апаттан кейін қалпына келтіру үшін екінші орын қажет пе?
• Интеграция: Қолданбаларыңыз қандай интерфейсті пайдаланады: PKCS#11, CNG/KSP, JCE немесе OpenSSL?
• Болашақ: Кванттан кейінгі криптографияға көшуді жоспарлап отырсыз ба? Құрылғы бұл көшуді бағдарламалық жаңарту арқылы қолдай ма?

Дереккөздер: NIST CMVP: расталған криптографиялық модульдер тізімі · CA/Browser Forum: кодқа қол қоюдың негізгі талаптары

Entrust nShield пе, әлде Thales Luna ма?

Екеуі де FIPS 3-деңгейі және Common Criteria бағаларына ие, кеңінен қолданылатын HSM отбасылары. Таңдау әдетте қолданыстағы инфрақұрылымыңызға, қажетті пішінге және интеграция экожүйесіне байланысты:

• Entrust nShield: Security World архитектурасымен кілттерді басқару; желілік құрылғы (5c), PCIe карта (5s) және қызмет ретінде (nShield as a Service).
• Thales Luna: бір құрылғыны түрлі қолданбалар мен топтарға қызмет ету үшін тәуелсіз бөлімдерге бөлу; желілік, PCIe және USB нұсқалары.

Сіздің қолдану сценарийіңізге қайсысы сай келетінін бірге анықтай аламыз.

Қатысты: HSM үшін баға ұсынысын сұраңыз

HSM туралы жиі қойылатын сұрақтар

HSM мен USB токеннің айырмашылығы неде?

USB токен — бір пайдаланушының кілтін сақтайтын шағын құрылғы, ол көбіне код қолтаңбасы сертификаттарымен бірге беріледі. HSM болса, көптеген кілттер мен қолданбаларды басқаратын, өнімділігі жоғары, кластерге біріктіруге болатын және толық аудит журналын жүргізетін корпоративтік құрылғы.

FIPS 140-3 3-деңгейі нені білдіреді?

FIPS 140-3 — АҚШ-тың NIST институтының криптографиялық модульдерге арналған қауіпсіздік стандарты. 3-деңгей бұзудан физикалық қорғауды, бұзу анықталғанда кілттерді өшіруді және сәйкестендіруге негізделген қолжетімділікті басқаруды талап етеді. Ол FIPS 140-2 стандартын алмастырды.

Кодқа қол қою үшін HSM міндетті ме?

Аппараттық құрылғы міндетті, бірақ бұл әрқашан HSM құрылғысы дегенді білдірмейді. CA/Browser Forum ережелері бойынша код қолтаңбасы кілттері кемінде FIPS 140-2 2-деңгейі немесе Common Criteria EAL 4+ бойынша расталған құрылғыда болуы тиіс. Бұл USB токен, HSM немесе бұлттық қол қою қызметі болуы мүмкін.

Бұлттық HSM қауіпсіз бе?

Бұлттық HSM-де кілттер бәрібір FIPS бойынша расталған құрылғыда сақталады; айырмашылығы — құрылғы провайдердің деректер орталығында орналасқан. Ол құрылғыны басқарғысы келмейтін және жылдам іске қосқысы келетін топтарға қолайлы. Деректердің қай елде сақталатыны бойынша талаптарыңыз болса, қызмет аймағын баға ұсынысы кезеңінде нақтылаңыз.

HSM бағасы қанша тұрады?

Баға үлгіге, өнімділік деңгейіне, кластер көлеміне, лицензияларға және қолдау мерзіміне байланысты. Сондықтан HSM тұрақты бағамен емес, әр жобаға жасалатын баға ұсынысымен сатылады.

Қорытынды

HSM жабық кілттеріңізді серверлеріңізден бөліп, ең маңызды активіңізді физикалық және логикалық шабуылдардан қорғайды. Кодқа қол қою үшін аппараттық құрылғы енді міндетті, ал PKI, дерекқорды шифрлау және бұлттағы кілттерді басқаруда HSM кең тараған стандартқа айналды.

DATASSL сіздің қолдану сценарийіңізге сәйкес Entrust nShield және Thales Luna HSM шешімдеріне баға ұсынысын дайындайды. Жобаңыз туралы қысқаша айтып беріңіз, дұрыс үлгі мен баптауды бірге таңдаймыз.

Қатысты: Entrust nShield HSM баға ұсынысы · Thales Luna HSM баға ұсынысы