HSM: le vostre chiavi. Il vostro controllo.

Un HSM è un componente hardware specializzato per chiavi e operazioni crittografiche. Può generare chiavi all'interno del proprio confine di sicurezza e utilizzarle, ad esempio, per firmare, senza consegnare la chiave privata all'applicazione. Quali operazioni, meccanismi di protezione e regole di esportazione si applicano dipende dal modulo specifico e dalla sua configurazione.

Se la perdita di una chiave o l'uso improprio di una chiave di firma avesse conseguenze rilevanti, conviene una valutazione strutturata. Esempi sono le release software, una PKI propria o le chiavi per dati aziendali sensibili. Portata, impegno di integrazione ed esercizio devono essere proporzionati al rischio. Non tutte le applicazioni hanno bisogno di un dispositivo proprio: può essere preso in considerazione anche un servizio gestito adeguato.

Un HSM mette a disposizione un ambiente protetto per le operazioni sulle chiavi. Un Key Management System (KMS) organizza chiavi, autorizzazioni, versioni e cicli di vita e può utilizzare un HSM come componente di protezione. Un Trusted Platform Module (TPM) è tipicamente legato a una singola piattaforma, ad esempio per la sua integrità e per le chiavi legate al dispositivo. Questi compiti si sovrappongono in parte, ma non sono intercambiabili.

Il nostro catalogo prodotti comprende soluzioni HSM di Utimaco, Thales, Entrust, IBM, Futurex, Marvell e IDEMIA. Per un progetto verifichiamo la serie specifica, le applicazioni supportate e le evidenze richieste. La menzione di un produttore non significa che ogni modello supporti ogni interfaccia o ogni caso d'uso.

Oltre all'hardware o ai canoni di servizio, incidono sui costi le licenze client e funzionali, la ridondanza, il backup, l'integrazione, i test, la formazione e il supporto continuativo. Un'offerta affidabile nasce dalle vostre operazioni, dai picchi di carico, dalle ubicazioni e dai requisiti di esercizio. Separiamo i costi di realizzazione una tantum dai costi ricorrenti e rendiamo visibili le opzioni necessarie.

No. Una validazione del modulo o una certificazione di prodotto ha un ambito di validità definito. Per l'impiego sono determinanti, tra l'altro, lo stato del prodotto, la modalità di esercizio, l'applicazione, i processi e le evidenze specificamente richieste. Anche l'idoneità per informazioni classificate viene verificata separatamente e non si deduce dal termine HSM.

Un HSM può rendere più difficile l'estrazione di una chiave. Un'applicazione compromessa ma con un'autorizzazione di firma valida può comunque inviare richieste non consentite. Per questo identità applicative, diritti strettamente limitati, processi di approvazione e monitoraggio fanno parte della soluzione. Protezione delle chiavi e controllo del loro utilizzo vengono pianificati insieme.

Portate una panoramica delle applicazioni, i dispositivi esistenti e le versioni client, i tipi di chiave e i principali requisiti operativi. Insieme definiamo il perimetro del lavoro. Successivamente, a seconda dell'incarico, forniamo una decisione sulla scelta del prodotto, una verifica dell'integrazione oppure un piano di migrazione ed esercizio con criteri di collaudo verificabili.

Volete proteggere un'autorità di certificazione, rimuovere le chiavi di firma da una pipeline di build o sostituire una generazione di HSM esistente? Partite dal caso d'uso concreto. I nostri sei servizi coprono selezione, integrazione e gestione operativa. Potete affidarci un singolo pacchetto di lavoro oppure pianificare con noi la realizzazione dall'analisi dello stato attuale fino al passaggio di consegne.

Un HSM deve gestire le vostre operazioni reali sulle chiavi ed essere coerente con applicazioni, requisiti di sicurezza e organizzazione operativa. Traduciamo questi requisiti in una decisione motivata su dispositivo e architettura, prima di acquistare l'hardware o vincolarsi a un servizio cloud.

Rilevare casi d'uso, tipologie di chiavi e profilo di carico Confrontare dispositivi e servizi in base a interfacce, requisiti di sicurezza e gestione operativa Pianificare partizionamento, guasto di un sito e backup Verificare le evidenze per hardware, firmware e modalità di esercizio specifici Valutare i rischi di integrazione con un test delimitato

Matrice di selezione motivata Architettura target con confini di sicurezza Piano di test e questioni aperte relative all'approvvigionamento

Un numero di firme al secondo dice poco finché non si conoscono algoritmo, dimensione della chiave, sessioni parallele e latenza di rete. Rileviamo separatamente, ad esempio, l'emissione di certificati, l'autenticazione, la firma di documenti o la decifratura dei dati. Il carico di picco, i nuovi tentativi e il comportamento in caso di guasto di un nodo rientrano nel profilo di carico. Le API necessarie, i sistemi operativi e le librerie client concorrono a determinare quale piattaforma può essere impiegata in modo sensato nel vostro ambiente.

L'architettura separa applicazioni, amministrazione, backup e custodia delle chiavi. Una partizione è una separazione logica, ma non sostituisce ogni separazione organizzativa o fisica. Chiariamo quali chiavi possono essere replicate, chi può ampliare un cluster e quali dipendenze esistono tra i siti. Se l'HSM si guasta, un'applicazione non deve ripiegare, senza che nessuno se ne accorga, su file di chiavi non protetti. Lo stato del certificato e la security policy vengono verificati per il modulo specifico; a questo scopo non bastano il nome di un prodotto o la validazione di un algoritmo.

Prima dell'approvazione definitiva testiamo le operazioni tipiche con l'integrazione client prevista. Vengono misurati throughput, latenza e gestione degli errori nel profilo concordato. Il risultato include ipotesi su crescita, licenze e gestione operativa. Per iniziare abbiamo bisogno di una panoramica delle applicazioni, dei tipi di chiave esistenti, dei requisiti relativi ai siti e delle evidenze che la vostra organizzazione deve effettivamente fornire.