Hvad er et hardwaresikkerhedsmodul, og hvorfor er det vigtigt?

Cyberkriminelle kan findes overalt, der målretter mod og angriber enhver modtagelig enhed, software eller system, de støder på. Dette har gjort det nødvendigt for enkeltpersoner og virksomheder at tage sikkerhedsforanstaltninger på næste niveau, såsom at bruge kryptografiske nøgler, for at beskytte deres it-aktiver.

Håndtering af kryptografiske nøgler, herunder generering, lagring og revision af dem, er dog ofte en stor hindring for sikring af systemer. Den gode nyhed er, at du sikkert kan administrere kryptografiske nøgler ved hjælp af et Hardware Security Module (HSM).

Hvad er et hardwaresikkerhedsmodul (HSM)?

En HSM er en fysisk computerenhed, der beskytter og administrerer kryptografiske nøgler. Den har typisk mindst én sikker kryptoprocessor, og den er almindeligvis tilgængelig som et plugin-kort (SAM/SIM-kort) eller ekstern enhed, der tilsluttes direkte til en computer eller netværksserver.

HSM'er er specialbygget til at beskytte livscyklussen for kryptografiske nøgler ved hjælp af manipulationssikre, manipulationssikre hardwaremoduler og beskytte data via flere teknikker, herunder kryptering og dekryptering. De fungerer også som sikre depoter for kryptografiske nøgler, der bruges til opgaver som datakryptering, Digital Rights Management (DRM) og dokumentsignering.

Hvordan fungerer hardwaresikkerhedsmoduler?

HSM'er sikrer datasikkerhed ved at generere, sikre, implementere, administrere, arkivere og bortskaffe kryptografiske nøgler.

Under klargøring genereres unikke nøgler, sikkerhedskopieres og krypteres til opbevaring. Nøglerne implementeres derefter af autoriseret personale, som installerer dem i HSM, hvilket giver mulighed for kontrolleret adgang.

HSM'er tilbyder administrationsfunktioner til kryptografisk nøgleovervågning, kontrol og rotation i henhold til industristandarder og organisationspolitikker. De seneste HSM'er sikrer for eksempel overholdelse ved at håndhæve NIST's anbefaling om at bruge RSA-nøgler på mindst 2048 bit.

Når først kryptografiske nøgler ikke længere bruges aktivt, udløses arkiveringsprocessen, og hvis nøglerne ikke længere er nødvendige, destrueres de sikkert og permanent.

Arkivering involverer lagring af dekommissionerede nøgler offline, hvilket muliggør fremtidig hentning af data krypteret med disse nøgler.

Hvad bruges hardwaresikkerhedsmoduler til?

Det primære formål med HSM'er er at sikre kryptografiske nøgler og levere væsentlige tjenester til beskyttelse af identiteter, applikationer og transaktioner. HSM'er understøtter flere tilslutningsmuligheder, herunder tilslutning til en netværksserver eller bruges offline som selvstændige enheder.

HSM'er kan pakkes som smartcards, PCI-kort, diskrete apparater eller en cloud-tjeneste kaldet HSM as a Service (HSMaaS). I banksektoren bruges HSM'er i pengeautomater, EFT'er og PoS-systemer, for at nævne nogle få.

HSM'er beskytter mange hverdagstjenester, herunder kreditkortdata og pinkoder, medicinsk udstyr, nationale identitetskort og pas, smarte målere og kryptovalutaer.

Typer af hardwaresikkerhedsmoduler

HSM'er kommer i to hovedkategorier, der hver tilbyder særskilte beskyttelsesfunktioner, der er skræddersyet til specifikke industrier. Her er de forskellige typer HSM'er, der er tilgængelige.

1. HSM'er til generelle formål

HSM'er til generelle formål har flere krypteringsalgoritmer, herunder symmetriske, asymmetriske, og hash-funktioner. Disse mest populære HSM'er er bedst kendt for deres enestående ydeevne til at beskytte følsomme datatyper, såsom kryptotegnebøger og offentlig nøgleinfrastruktur.

HSM'erne administrerer adskillige kryptografiske operationer og bruges almindeligvis i PKI, SSL/TLS og generisk følsom databeskyttelse. På grund af dette bruges HSM'er til generelle formål normalt for at hjælpe med at opfylde generelle industristandarder som HIPAA-sikkerhedskrav og FIPS-overholdelse.

HSM'er til generelle formål understøtter også API-forbindelse ved hjælp af Java Cryptography Architecture (JCA), Java Cryptography Extension (JCE), Cryptography API Next Generation (CNG), Public-Key Cryptography Standard (PKCS) #11 og Microsoft Cryptographic Application Programming Interface (CAPI), der gør det muligt for brugere at vælge den ramme, der passer bedst til deres kryptografiske operationer.

2. Betalings- og transaktions-HSM'er

Betalings- og transaktions-HSM'er er specielt designet til den finansielle industri for at beskytte følsomme betalingsoplysninger, såsom kreditkortnumre. Disse HSM'er understøtter betalingsprotokoller, som APACS, mens de opretholder flere branchespecifikke standarder, såsom EMV og PCI HSM, for overholdelse.

HSM'erne tilføjer et ekstra lag af beskyttelse til betalingssystemer ved at sikre følsomme data under transmission og opbevaring. Dette har fået finansielle institutioner, herunder banker og betalingsbehandlere, til at anvende det som en integreret løsning til at sikre sikker håndtering af betalinger og transaktioner.

Nøglefunktioner ved hardwaresikkerhedsmoduler

HSM'er tjener som kritiske komponenter til at sikre overholdelse af cybersikkerhedsforskrifter, forbedre datasikkerheden og opretholde optimale serviceniveauer. Her er nøglefunktionerne ved HSM'er, der hjælper dem med at opnå dette.

1. Modstand mod manipulation

Det primære mål med at gøre HSM'er manipulationssikre er at beskytte dine kryptografiske nøgler i tilfælde af et fysisk angreb på HSM'en.

Ifølge FIPS 140-2 skal en HSM inkludere manipulationssikre segl for at kvalificere sig til certificering som en niveau 2 (eller højere) enhed. Ethvert forsøg på at manipulere med HSM, som at fjerne en ProtectServer PCIe 2 fra dens PCIe-bus, vil udløse en manipulationshændelse, der sletter alt kryptografisk materiale, konfigurationsindstillinger og brugerdata.

2. Sikkert design

HSM'er er udstyret med unik hardware, der opfylder kravene fastsat af PCI DSS og overholder forskellige offentlige standarder, herunder Common Criteria og FIPS 140-2.

Størstedelen af ​​HSM'er er certificeret på forskellige FIPS 140-2-niveauer, for det meste på niveau 3-certificering. De udvalgte HSM'er, der er certificeret på niveau 4, det højeste niveau, er en fantastisk løsning for organisationer, der søger beskyttelse på højeste niveau.

3. Autentificering og adgangskontrol

HSM'er fungerer som gatekeepere, kontrollere adgangen til enheder og data de beskytter. Dette er tydeligt gennem deres evne til at overvåge HSM'er aktivt for manipulation og reagere effektivt.

Hvis der opdages manipulation, vil visse HSM'er enten holde op med at fungere eller slette kryptografiske nøgler for at forhindre uautoriseret adgang. For yderligere at øge sikkerheden anvender HSM'er stærk godkendelsespraksis som f.eks multi-faktor autentificering og strenge adgangskontrolpolitikker, der begrænser adgangen til autoriserede personer.

4. Compliance og revision

For at opretholde overholdelse skal HSM'er overholde forskellige standarder og regler. De vigtigste omfatter Den Europæiske Unions generelle databeskyttelsesforordning (GDPR), Domain Name System Security Extensions (DNSSEC), PCI Data Security Standard, Common Criteria og FIPS 140-2.

Overholdelse af standarder og regler sikrer data- og privatlivsbeskyttelse, DNS-infrastruktursikkerhed, sikker betalingskorttransaktioner, internationalt anerkendte sikkerhedskriterier og overholdelse af statslig kryptering standarder.

HSM'er inkluderer også log- og revisionsfunktioner, der muliggør overvågning og sporing af kryptografiske operationer til overholdelsesformål.

5. Integration og API'er

HSM'er understøtter populære API'er, såsom CNG og PKCS #11, hvilket giver udviklere mulighed for problemfrit at integrere HSM-funktionalitet i deres applikationer. De er også kompatible med flere andre API'er, herunder JCA, JCE og Microsoft CAPI.

Beskyt dine kryptografiske nøgler

HSM'er giver nogle af de højeste niveauer af sikkerhed blandt fysiske enheder. Deres evne til at generere kryptografiske nøgler, opbevare dem sikkert og beskytte databehandling positionerer dem som en ideel løsning for alle, der søger forbedret datasikkerhed.

HSM'er inkluderer funktioner som et sikkert design, manipulationsmodstand og detaljerede adgangslogfiler, hvilket gør dem til en værdifuld investering for at styrke sikkerheden for vigtige kryptografiske data.