Az embereknek és a vállalkozásoknak kriptográfiai kulcsokkal kell megvédeniük eszközeiket. De ezeket a kulcsokat is meg kell védeniük. A HSM lehet a válasz.
A kiberbűnözők mindenhol megtalálhatók, és minden érzékeny eszközt, szoftvert vagy rendszert megcéloznak és megtámadnak. Ez szükségessé tette az egyéneknek és a vállalatoknak, hogy új szintű biztonsági intézkedéseket hozzanak, például kriptográfiai kulcsokat használjanak informatikai eszközeik védelme érdekében.
Azonban a kriptográfiai kulcsok kezelése, beleértve azok generálását, tárolását és auditálását, gyakran komoly akadályt jelent a rendszerek biztonsága szempontjából. A jó hír az, hogy a kriptográfiai kulcsokat biztonságosan kezelheti a hardverbiztonsági modul (HSM) használatával.
Mi az a hardverbiztonsági modul (HSM)?
A HSM egy fizikai számítástechnikai eszköz, amely védi és kezeli a kriptográfiai kulcsokat. Általában legalább egy biztonságos kriptoprocesszorral rendelkezik, és általában beépülő kártyaként (SAM/SIM-kártya) vagy külső eszközként érhető el, amely közvetlenül egy számítógéphez vagy hálózati szerverhez csatlakozik.
A HSM-eket arra tervezték, hogy megvédjék a kriptográfiai kulcsok életciklusát, hamisítás-biztos hardvermodulokkal, és több adattal is védjék az adatokat. technikák, beleértve a titkosítást és a visszafejtést. Ezenkívül biztonságos tárolóként szolgálnak a titkosítási kulcsokhoz, amelyeket például adattitkosításhoz, digitális jogkezeléshez (DRM) és dokumentum-aláíráshoz használnak.
Hogyan működnek a hardveres biztonsági modulok?
A HSM-ek kriptográfiai kulcsok generálásával, biztosításával, telepítésével, kezelésével, archiválásával és ártalmatlanításával biztosítják az adatok biztonságát.
Az üzembe helyezés során egyedi kulcsok jönnek létre, biztonsági másolatot készítenek, és titkosítják a tároláshoz. A kulcsokat ezután a felhatalmazott személyzet telepíti a HSM-be, lehetővé téve az ellenőrzött hozzáférést.
A HSM-ek felügyeleti funkciókat kínálnak a kriptográfiai kulcsok figyeléséhez, vezérléséhez és rotációjához, az iparági szabványoknak és a szervezeti szabályzatoknak megfelelően. A legújabb HSM-ek például biztosítják a megfelelőséget azáltal, hogy érvényesítik a NIST legalább 2048 bites RSA-kulcsok használatára vonatkozó ajánlását.
Ha a kriptográfiai kulcsokat már nem használják aktívan, az archiválási folyamat elindul, és ha a kulcsokra már nincs szükség, azok biztonságosan és véglegesen megsemmisülnek.
Az archiválás magában foglalja a leállított kulcsok offline tárolását, lehetővé téve az ezekkel a kulcsokkal titkosított adatok későbbi lekérését.
Mire használhatók a hardveres biztonsági modulok?
A HSM-ek elsődleges célja a kriptográfiai kulcsok biztonságossá tétele és alapvető szolgáltatások biztosítása az identitások, alkalmazások és tranzakciók védelméhez. A HSM-ek többféle csatlakozási lehetőséget támogatnak, beleértve a hálózati szerverhez való csatlakozást vagy az offline használatot önálló eszközként.
A HSM-ek csomagolhatók intelligens kártyákba, PCI-kártyákba, különálló készülékekbe vagy a HSM as a Service (HSMaaS) nevű felhőszolgáltatásba. A banki szolgáltatásokban a HSM-eket ATM-ekben, EFT-ekben és PoS-rendszerekben használják, hogy csak néhányat említsünk.
A HSM-ek számos mindennapi szolgáltatást védenek, beleértve a hitelkártyaadatokat és PIN-kódokat, az orvosi eszközöket, a személyi igazolványokat és az útleveleket, az intelligens mérőórákat és a kriptovalutákat.
A hardveres biztonsági modulok típusai
A HSM-ek két fő kategóriába sorolhatók, amelyek mindegyike egyedi védelmi képességeket kínál az adott iparágakra szabva. Itt vannak a különböző típusú HSM-ek.
1. Általános célú HSM-ek
Az általános célú HSM-ek több funkciót is tartalmaznak titkosítási algoritmusok, beleértve a szimmetrikus, aszimmetrikus, és hash függvények. Ezek a legnépszerűbb HSM-ek leginkább az érzékeny adattípusok, például a titkosítási pénztárcák és a nyilvános kulcsú infrastruktúra védelmében nyújtott kivételes teljesítményükről ismertek.
A HSM-ek számos kriptográfiai műveletet kezelnek, és gyakran használják a PKI, SSL/TLS és általános érzékeny adatvédelem területén. Emiatt az általános célú HSM-eket általában az általános iparági szabványok, például a HIPAA biztonsági követelmények és a FIPS megfelelőség teljesítésére használják.
Az általános célú HSM-ek szintén támogatják az API-kapcsolatot a Java Cryptography Architecture (JCA), a Java Cryptography Extension (JCE), a Cryptography API Next Generation (CNG), a nyilvános kulcs használatával. Cryptography Standard (PKCS) #11 és Microsoft Cryptographic Application Programming Interface (CAPI), amelyek lehetővé teszik a felhasználók számára a kriptográfiai tevékenységüknek leginkább megfelelő keretrendszer kiválasztását tevékenységek.
2. Fizetési és tranzakciós HSM-ek
A fizetési és tranzakciós HSM-eket kifejezetten a pénzügyi ágazat számára tervezték, hogy megvédjék az érzékeny fizetési információkat, például a hitelkártyaszámokat. Ezek a HSM-ek támogatják a fizetési protokollokat, például az APACS-t, miközben több iparág-specifikus szabványt is betartanak, mint például az EMV és a PCI HSM a megfelelőség érdekében.
A HSM-ek további védelmet adnak a fizetési rendszereknek az érzékeny adatok védelmével az átvitel és tárolás során. Ez arra késztette a pénzintézeteket, beleértve a bankokat és a fizetésfeldolgozókat, hogy integrált megoldásként alkalmazzák a fizetések és tranzakciók biztonságos kezelésének biztosítására.
A hardveres biztonsági modulok főbb jellemzői
A HSM-ek kritikus komponensként szolgálnak a kiberbiztonsági előírások betartásának biztosításában, az adatbiztonság fokozásában és az optimális szolgáltatási szint fenntartásában. Íme a HSM-ek legfontosabb jellemzői, amelyek segítenek nekik elérni ezt.
1. Szabotázs-ellenállás
A HSM-ek manipuláció elleni védelmének elsődleges célja a kriptográfiai kulcsok védelme a HSM elleni fizikai támadás esetén.
A FIPS 140-2 szerint a HSM-nek tartalmaznia kell hamisításmentes pecsétet, hogy megfeleljen a 2-es (vagy magasabb) szintű eszköznek. A HSM manipulálására tett kísérlet, például a ProtectServer PCIe 2 eltávolítása a PCIe buszról, szabotázs eseményt indít el, amely törli az összes kriptográfiai anyagot, konfigurációs beállítást és felhasználói adatot.
2. Biztonságos tervezés
A HSM-ek egyedi hardverrel vannak felszerelve, amely megfelel a PCI DSS által támasztott követelményeknek, és megfelel a különféle kormányzati szabványoknak, beleértve a Common Criteria és a FIPS 140-2 szabványt.
A HSM-ek többsége különböző FIPS 140-2 szinteken, többnyire 3-as szintű tanúsítvánnyal rendelkezik. A 4-es, legmagasabb szintű tanúsítvánnyal rendelkező kiválasztott HSM-ek nagyszerű megoldást jelentenek a csúcs szintű védelmet kereső szervezetek számára.
3. Hitelesítés és hozzáférés-vezérlés
A HSM-ek kapuőrként szolgálnak, az eszközökhöz és adatokhoz való hozzáférés szabályozása védenek. Ez nyilvánvaló abból a képességükből, hogy képesek aktívan figyelni a HSM-eket manipuláció céljából, és hatékonyan reagálnak.
Ha manipulációt észlel, bizonyos HSM-ek vagy leállnak, vagy törlik a kriptográfiai kulcsokat, hogy megakadályozzák az illetéktelen hozzáférést. A biztonság további fokozása érdekében a HSM-ek olyan erős hitelesítési gyakorlatokat alkalmaznak, mint pl többtényezős hitelesítés és szigorú hozzáférés-szabályozási szabályzatok, amelyek a hozzáférést a jogosult személyekre korlátozzák.
4. Megfelelés és auditálás
A megfelelőség fenntartása érdekében a HSM-eknek meg kell felelniük a különféle szabványoknak és előírásoknak. A főbbek közé tartozik az Európai Unió általános adatvédelmi rendelete (GDPR), Domain Name System Security Extensions (DNSSEC), PCI Data Security Standard, Common Criteria és FIPS 140-2.
A szabványoknak és előírásoknak való megfelelés biztosítja az adat- és magánélet védelmét, a DNS-infrastruktúra biztonságát, a biztonságot fizetési kártyás tranzakciók, nemzetközileg elismert biztonsági kritériumok és a kormányzati titkosítás betartása szabványoknak.
A HSM-ek naplózási és auditálási funkciókat is tartalmaznak, amelyek lehetővé teszik a kriptográfiai műveletek megfigyelését és nyomon követését a megfelelőség érdekében.
5. Integráció és API-k
A HSM-ek támogatják a népszerű API-kat, például a CNG-t és a PKCS #11-et, így a fejlesztők zökkenőmentesen integrálhatják a HSM-funkciókat alkalmazásaikba. Számos más API-val is kompatibilisek, beleértve a JCA-t, a JCE-t és a Microsoft CAPI-t.
Védje meg kriptográfiai kulcsait
A HSM-ek a legmagasabb szintű biztonságot nyújtják a fizikai eszközök között. A kriptográfiai kulcsok generálására, biztonságos tárolására és az adatfeldolgozás védelmére való képességük ideális megoldást jelent mindazok számára, akik fokozott adatbiztonságra vágynak.
A HSM-ek olyan funkciókat tartalmaznak, mint a biztonságos kialakítás, a szabotázs elleni védelem és a részletes hozzáférési naplók, így megtérülő befektetést jelentenek a kulcsfontosságú kriptográfiai adatok biztonságának erősítésére.
