Hoe komt een Marvell-kaart in ons datacenter?

Marvell verkoopt de kaarten aan cloudaanbieders, HSM-dienstverleners en apparatenfabrikanten die er een kant-en-klaar systeem mee bouwen. Wij zijn partner van de fabrikant en geen distributeur, wij regelen de inkoopweg in het project en nemen inbouw, koppeling en beheer voor onze rekening.

Is de LiquidSecurity 2 gecertificeerd volgens Common Criteria?

Marvell noemt Common Criteria en eIDAS op de productpagina, maar een certificaatnummer of certificaat is daarvoor niet gepubliceerd. Aangetoond is FIPS 140-3 Level 3 met het nummer 4703, al het andere vermelden we apart als opgave van de fabrikant.

Kunnen we de kaarten in Duitsland laten beheren?

Wij werken met exploitanten van kritieke infrastructuur en gereguleerde sectoren en beheren de kaarten in Duitse datacenters. Als alternatief gebruikt u Azure Key Vault, Azure Managed HSM of Azure Cloud HSM, die sinds 2024 met LiquidSecurity 2 werken.

Marvell LiquidSecurity: kaarten, certificeringen, beheer

Marvell in één oogopslag

Een LiquidSecurity-kaart zit in de server en genereert, bewaart en gebruikt cryptografische sleutels binnen een gecertificeerde hardwaregrens. Applicaties roepen ondertekening en ontsleuteling aan via PKCS#11, JCA/JCE, CNG/KSP of OpenSSL, en de sleutel blijft op de kaart. Marvell beheert daarvoor geen eigen clouddienst, maar levert de kaarten aan aanbieders die er diensten en appliances mee bouwen.

Cryptografie en hardware security modules zijn onze kerncompetentie. Wij kennen de partitionering van de LiquidSecurity-kaarten, de koppeling via PKCS#11 en de validatierapporten uit het CMVP-programma, dat de FIPS-validaties uitvoert. Wij begeleiden uw project van de selectie tot het beheer.

Vormfactor: PCIe Gen4 x8, lage bouwhoogte
Hoogste certificering: FIPS 140-3 Level 3, CMVP 4703
Partities: 21 bij LS2-A050, 32 bij LS2-A100, 42 met upgrade
Inzet: HSM als dienst, sleutelkluizen, betalingsverkeer, TLS-offloading

De series in detail

Serie 01

LiquidSecurity 2

De LiquidSecurity 2 is de actuele generatie van de kaarten en kwam in september 2022 op de markt. Afhankelijk van de uitvoering scheidt ze 21, 32 of 42 partities en bevat ze volgens de productpagina tot een miljoen sleutels.

Apparaatafbeelding bekijken

Modellen

LiquidSecurity 2: Modellen
LS2-A050	21 partities, 21.250 RSA-2048-bewerkingen per seconde
LS2-A100	32 partities, 35.000 RSA-2048-bewerkingen per seconde
Performance-upgrade	42 partities, 42.500 RSA-2048-bewerkingen per seconde
LS-SW-PQC	Licentie voor post-quantumalgoritmen op de kaart
LS-SW-PLH	Licentie voor applicaties van andere fabrikanten op de kaart

Vormfactoren: PCIe-kaart Gen4 x8, Lage bouwhoogte
Beheer: Servers van cloudaanbieders, Platform van een HSM-dienstverlener, Appliance van een apparatenfabrikant

Certificeringen

FIPS 140-3 Level 3, CMVP 4703, gecertificeerd op 6 juni 2024
Validatievermelding geldig tot 5 juni 2029
PCI PTS HSM 4.0 volgens de productpagina, v3 op dezelfde hardware en firmware
Common Criteria als opgave van de fabrikant zonder certificaatnummer
eIDAS als opgave van de fabrikant zonder certificaatnummer

Kenmerken

Interfaces PKCS#11, JCA/JCE, CNG/KSP en OpenSSL
Rolgebaseerde rechten, geattesteerde logs en beheer op afstand
Met upgrade 100.000 EC-P-256- en 1.000.000 AES-GCM-bewerkingen per seconde
SR-IOV met één fysieke en 64 virtuele functies
Licenties voor post-quantumalgoritmen en applicaties van derden

Gegevens van de fabrikant

Serie 02

LiquidSecurity 1

De LiquidSecurity 1 is gebaseerd op de cryptoprocessor NITROX III, staat nog op de productpagina en heeft een eigen FIPS-validatie. Ze scheidt 16, 24 of 32 partities, één uitvoering 64, en bewaart 25.000 tot 100.000 sleutels.

Modellen

LiquidSecurity 1: Modellen
CNN35XX-NFBE	Kaartfamilie achter de validatievermelding CMVP 4700
Uitvoering met 16 partities	Kleinste scheiding van de serie
Uitvoering met 24 partities	Middelste scheiding van de serie
Uitvoering met 32 partities	Standaarduitvoering van de serie
Uitvoering met 64 partities	Afzonderlijke variant van de serie

Vormfactoren: PCIe-kaart
Beheer: Servers van cloudaanbieders, Platform van een HSM-dienstverlener
Levenscyclus: Vorige generatie, nog op de productpagina vermeld, opvolger is de LiquidSecurity 2

Certificeringen

FIPS 140-3 Level 3, CMVP 4700, gecertificeerd op 30 mei 2024
Validatievermelding geldig tot 29 mei 2029
FIPS 140-2 Level 3

Kenmerken

Sleutelopslag van 25.000 tot 100.000 sleutels
Partities in de stappen 16, 24 en 32
Eén uitvoering met 64 partities
Validatievermelding onder de naam NITROXIII CNN35XX-NFBE HSM Family

Gegevens van de fabrikant

Serie 03

LiquidSecurity bij Microsoft Azure

Marvell levert de kaarten aan cloudaanbieders die er een dienst mee bouwen, en deze route is tot nu toe aangetoond voor Microsoft Azure. Sinds augustus 2024 werken Azure Key Vault en Azure Managed HSM met LiquidSecurity 2, sinds augustus 2025 ook Azure Cloud HSM.

Apparaatafbeelding bekijken

Modellen

LiquidSecurity bij Microsoft Azure: Modellen
Azure Key Vault	Sinds augustus 2024 uitgerust met LiquidSecurity 2
Azure Managed HSM	Sinds augustus 2024 uitgerust met LiquidSecurity 2
Azure Cloud HSM	Sinds augustus 2025 uitgerust met LiquidSecurity 2

Vormfactoren: Dienst van de cloudaanbieder
Beheer: Microsoft Azure, Platform van een HSM-dienstverlener

Certificeringen

FIPS 140-3 Level 3 van de gebruikte LiquidSecurity 2, CMVP 4703

Kenmerken

Marvell levert de kaarten en beheert zelf geen clouddienst
Azure Key Vault en Azure Managed HSM gebruiken de kaarten sinds augustus 2024
Azure Cloud HSM gebruikt de kaarten sinds augustus 2025
Voor AWS en Google Cloud hebben wij geen bevestiging van Marvell
Aanbieders van HSM als dienst bouwen de kaarten in eigen platformen in

Gegevens van de fabrikant

Zo vindt u de juiste kaart

Vier vragen bepalen de keuze: het aantal partities, het vereiste validatiebewijs, de interfaces van uw applicaties en het beheermodel. Wij beantwoorden ze in een workshop en leggen het resultaat vast met de bron per gegeven.

01

Partities en tenants

De LS2-A050 scheidt 21 partities, de LS2-A100 scheidt er 32 en met de upgrade zijn het er 42. De productpagina noemt tot 45 partities, het validatierapport tot 64 logische partities, daarom leggen we het aantal per bron apart vast.

02

Certificeringsbewijs

FIPS 140-3 Level 3 is voor beide generaties aangetoond met de certificaatnummers 4703 en 4700 en loopt tot 2029. Common Criteria en eIDAS noemt Marvell op de productpagina zonder certificaatnummer, daarom vermelden we ze als opgave van de fabrikant.

03

Interfaces

Uw applicaties spreken PKCS#11, JCA/JCE, CNG/KSP of OpenSSL, en de kaart bedient alle vier routes. Wij controleren vooraf of PKI, database of ondertekeningsdienst samenwerken met de beoogde firmware en de geplande partitie.

04

Beheermodel

U neemt de kaart af in een appliance, boekt een dienst bij een HSM-aanbieder of gebruikt Azure Key Vault, Managed HSM en Cloud HSM. De volledige oplossing draait in Duitse datacenters.

Wat we rond Marvell leveren

Wij leveren het werk rond de kaart: keuze van de uitvoering, indeling van de partities, koppeling van de applicaties, sleutelceremonie en monitoring. Eén team begeleidt u van advies tot beheer.

HSM-advies en integratie
Wij kiezen de uitvoering op basis van uw belasting, delen de partities in naar uw tenants, koppelen PKCS#11 en CNG/KSP aan uw applicaties en documenteren de sleutelceremonie auditbestendig.
Wij kiezen de uitvoering op basis van uw belasting. Wij delen de partities in naar uw tenants. Wij koppelen PKCS#11 en CNG/KSP aan uw applicaties. Wij documenteren de sleutelceremonie voor auditors.
HSM & sleutelbeheer
PQC-gereedheid
Wij brengen in kaart welke sleutels en protocollen op RSA en ECC berusten, want quantumcomputers kunnen deze algoritmen later breken. Daarna plannen we de inzet van de licentie LS-SW-PQC, die post-quantumalgoritmen naar de kaart brengt.
Wij brengen uw sleutels en protocollen in kaart. Wij zoeken daarin naar RSA en ECC. Quantumcomputers kunnen deze algoritmen later breken. Daarna plannen we de inzet van de licentie LS-SW-PQC. Deze licentie brengt post-quantumalgoritmen naar de kaart.
Post-quantumcryptografie
Cloud
Wij richten Azure Key Vault, Managed HSM en Cloud HSM in, scheiden sleutels per applicatie en verbinden de dienst met uw systemen in het eigen datacenter.
Wij richten Azure Key Vault, Managed HSM en Cloud HSM in. Wij scheiden de sleutels per applicatie. Wij verbinden de dienst met uw systemen in het datacenter.
Cloud

Normen en bewijsstukken

Vier voorschriften bepalen bij Marvell de keuze en de documentatie. Wij vertellen u welke opgave een certificaatnummer heeft en welke tot nu toe alleen op de productpagina staat.

Voorschrift / Vereist / OTOKO® levert
Voorschrift	Vereist	OTOKO® levert
FIPS 140-3	Gecertificeerde cryptomodules met een vastgelegd niveau van fysieke bescherming	LiquidSecurity 2 met Level 3 en CMVP 4703, LiquidSecurity 1 met CMVP 4700
PCI PTS HSM	Gecertificeerde hardware voor pincodes en kaartsleutels	LiquidSecurity 2 volgens de productpagina met 4.0, volgens de Marvell-blog met v3 op dezelfde hardware
Common Criteria	Gecertificeerde beveiligingsmodule met gepubliceerd certificaat	Door Marvell op de productpagina genoemd, zonder certificaatnummer, dus opgave van de fabrikant
eIDAS	Gekwalificeerd middel voor het aanmaken van elektronische handtekeningen (QSCD) bij de verlener van vertrouwensdiensten	Door Marvell genoemd, zonder certificaatnummer, wij toetsen de geschiktheid per project

Veelgestelde vragen over Marvell

Gerelateerde onderwerpen

Diensten

Sectoren

Andere fabrikanten

Menu

Marvell LiquidSecurity: kaarten voor HSM-platformen

Marvell in één oogopslag