IBM HSM: klucze w komputerach mainframe i w chmurze

Aktualną kartą jest 4770, na IBM Z jako Crypto Express 8S dla komputerów mainframe z16 i z17. Dla Power11 ma kody Feature Code EPG4, EPG5 i EPG6, w serwerach x86 nazywa się 4770-001. 4769 jako Crypto Express 7S pozostaje wymieniona dla z15 oraz Power9 i Power10.

Aktualną kartą jest 4770. Na IBM Z nazywa się Crypto Express 8S. Pasuje do komputerów mainframe z16 i z17. Dla Power11 ma kody Feature Code EPG4, EPG5 i EPG6. W serwerach x86 nazywa się 4770-001. 4769 na IBM Z nazywa się Crypto Express 7S. Pozostaje wymieniona dla z15, Power9 i Power10.

Nie, 4770 ma dziś certyfikat FIPS 140-2 Level 4 z numerem 4558, ważny do 21 września 2026 roku. Certyfikacja zgodnie z FIPS 140-3 Level 3 ma status Implementation Under Test, czyli implementacji w trakcie testów, a sprzęt spełnia Level 4. W przetargach wskazujemy oba stany osobno.

Nie, 4770 ma dziś certyfikat FIPS 140-2 Level 4. Numer certyfikatu to 4558. Jest ważny do 21 września 2026 roku. Certyfikacja zgodnie z FIPS 140-3 Level 3 wciąż trwa. IBM nazywa ten stan Implementation Under Test. Sam sprzęt spełnia Level 4. W przetargach wskazujemy oba stany osobno.

Usługa jest wycofywana z oferty, sprzedaż zakończyła się 28 marca 2026 roku, a usługa kończy się 20 marca 2027 roku, przy czym strona przeglądowa podaje datę 28 marca 2027 roku. Następcą jest IBM Cloud Key Protect Dedicated, którego moduły mają uzyskać certyfikat FIPS 140-3 Level 4.

Usługa jest wycofywana z oferty. Sprzedaż zakończyła się 28 marca 2026 roku. Usługa kończy się 20 marca 2027 roku. Strona przeglądowa podaje tu datę 28 marca 2027 roku. Następcą jest IBM Cloud Key Protect Dedicated. Jego moduły mają uzyskać certyfikat FIPS 140-3 Level 4. Ta certyfikacja wciąż trwa.

Decydują o tym Państwo: eksploatują karty sami albo przekazują monitorowanie i konserwację nam. Współpracujemy z operatorami infrastruktury krytycznej i branżami regulowanymi i dostosowujemy do tego role, dzienniki zdarzeń i ścieżki awaryjne.

Decydują o tym Państwo. Eksploatują karty sami. Albo przekazują monitorowanie i konserwację nam. Współpracujemy z operatorami infrastruktury krytycznej i branżami regulowanymi. Role, dzienniki zdarzeń i ścieżki awaryjne dostosowujemy do tego.

Sprzętowy moduł bezpieczeństwa generuje i przechowuje klucze kryptograficzne w certyfikowanym urządzeniu, które nigdy nie ujawnia klucza w postaci jawnej. U IBM tym urządzeniem jest karta Crypto Express z trzema trybami pracy. CCA obejmuje płatności, EP11 dostarcza Enterprise PKCS#11 dla zastosowań ogólnych, a trzeci tryb tylko przyspiesza obliczenia. Karta znajduje się w komputerach mainframe serii IBM Z, w systemach Power oraz jako model 4770-001 w serwerze x86 pod RHEL. Kryptografia i sprzętowe moduły bezpieczeństwa są naszą kluczową kompetencją. Znamy tryby pracy CCA i EP11, podłączenie przez ICSF pod z/OS oraz wycofania usług w IBM Cloud. Prowadzimy Państwa projekt od wyboru, przez integrację, aż po eksploatację.

O wyborze u IBM decydują cztery punkty: platforma, tryb pracy karty, wymagany poziom certyfikacji i cykl życia usługi. Wyjaśniamy je na warsztacie i zapisujemy wynik w dokumencie decyzyjnym.

O wyborze u IBM decydują cztery punkty. Po pierwsze platforma w centrum danych. Po drugie tryb pracy karty. Po trzecie wymagany poziom certyfikacji. Po czwarte cykl życia usługi. Wyjaśniamy to na warsztacie. Wynik zapisujemy w dokumencie.

Karta zależy od serwera: z16 i z17 obsługują Crypto Express 8S, z15 obsługuje Crypto Express 7S. Dla Power11 dostępny jest 4770, dla Power9 i Power10 4769. W serwerach x86 działa tylko 4770-001 pod RHEL.

Karta zależy od serwera. Komputery mainframe z16 i z17 obsługują Crypto Express 8S. Komputer mainframe z15 obsługuje Crypto Express 7S. Dla Power11 dostępny jest 4770. Dla Power9 i Power10 dostępny jest 4769. W serwerach x86 działa tylko 4770-001 pod RHEL.

CCA to tryb pracy dla płatności i ma w nim certyfikację PCI HSM, EP11 dostarcza Enterprise PKCS#11 dla zastosowań ogólnych. Tryb samego akceleratora wykonuje obliczenia bez przechowywania własnych kluczy i nadaje się do zadań czysto obliczeniowych. Tryb pracy ustalamy dla każdej karty i aplikacji oraz dokumentujemy decyzję.

CCA to tryb pracy dla płatności. W tym trybie karta ma certyfikację PCI HSM. EP11 dostarcza PKCS#11 dla zastosowań ogólnych. PKCS#11 to otwarty interfejs dla programów. Tryb samego akceleratora nie przechowuje własnych kluczy. Nadaje się do zadań czysto obliczeniowych. Tryb pracy ustalamy dla każdej karty i aplikacji. Dokumentujemy decyzję.

4770 ma certyfikat FIPS 140-2 Level 4 z numerem certyfikatu 4558, ważnym do 21 września 2026 roku. Certyfikacja zgodnie z FIPS 140-3 Level 3 wciąż trwa, a sprzęt spełnia Level 4. Certyfikacja PCI HSM obowiązuje od CCA 8.x, a dla IBM Z strona przeglądowa podaje status jako oczekujący.

4770 ma certyfikat FIPS 140-2 Level 4. Numer certyfikatu to 4558. Jest ważny do 21 września 2026 roku. Certyfikacja zgodnie z FIPS 140-3 Level 3 wciąż trwa. Sam sprzęt spełnia Level 4. Certyfikacja PCI HSM obowiązuje od CCA 8.x. Dla IBM Z strona przeglądowa podaje status jako oczekujący.

IBM Cloud HSM działa do 11 sierpnia 2027 roku, usługa Hyper Protect Crypto Services zostaje wyłączona 20 marca 2027 roku. Kto planuje dziś w chmurze, stawia na Key Protect Dedicated. Całe rozwiązanie działa w niemieckich centrach danych.

IBM Cloud HSM działa do 11 sierpnia 2027 roku. Usługa Hyper Protect Crypto Services zostaje wyłączona 20 marca 2027 roku. Kto planuje dziś w chmurze, wybiera Key Protect Dedicated. Całe rozwiązanie działa w niemieckich centrach danych.

Dostarczamy nie tylko kartę, lecz także pracę przed jej wdrożeniem i po nim: wybór, podłączenie do ICSF i aplikacji, ceremonię generowania kluczy, monitorowanie i eksploatację. Ceremonię generowania kluczy dokumentujemy tak, aby audytorzy mogli ją później odtworzyć. Zespół towarzyszy Państwu od doradztwa aż po eksploatację.

Dostarczamy nie tylko kartę. Dostarczamy też pracę przed jej wdrożeniem i po nim. Należą do tego wybór i ceremonia generowania kluczy. Należy do tego podłączenie do ICSF i Państwa aplikacji. Należą do tego monitorowanie i eksploatacja. Audytorzy mogą później odtworzyć ceremonię generowania kluczy. Zespół towarzyszy Państwu od doradztwa aż po eksploatację.

Wybieramy kartę i tryb pracy, konfigurujemy CCA i EP11 oraz podłączamy z/OS przez ICSF. Dochodzą do tego Linux i AIX, a ceremonię generowania kluczy dokumentujemy tak, aby wytrzymała audyt.

Wybieramy kartę i tryb pracy. Konfigurujemy CCA i EP11. Podłączamy z/OS przez ICSF. Podłączamy też Linux i AIX. Ceremonię generowania kluczy dokumentujemy tak, aby audytorzy mogli ją sprawdzić.

Ustalamy, które klucze i protokoły opierają się dziś na RSA i ECC, ponieważ oba algorytmy są zagrożone przez komputery kwantowe. Następnie planujemy drogę do CRYSTALS-Dilithium i Kyber w karcie, do tego hybrydowe ECDH z Kyber. Do planu włączamy także odporne na komputery kwantowe wczytywanie kodu i atestację.

Ustalamy Państwa klucze i protokoły. Sprawdzamy, gdzie działają RSA i ECC. Komputery kwantowe mogą złamać oba algorytmy. Następnie planujemy drogę do CRYSTALS-Dilithium i Kyber. Karta sama wykonuje te algorytmy. Dochodzi do tego hybrydowe ECDH z Kyber. Uwzględniamy też wczytywanie kodu. Podobnie atestację odporną na komputery kwantowe.

Rozdzielamy administrację od aplikacji, sprawdzamy role i dzienniki zdarzeń oraz monitorujemy karty podczas bieżącej eksploatacji. Zdarzenia przekazujemy do Państwa systemu SIEM, który gromadzi i ocenia komunikaty bezpieczeństwa.

Rozdzielamy zarządzanie od aplikacji. Regularnie sprawdzamy role i dzienniki zdarzeń. Monitorujemy karty podczas bieżącej eksploatacji. Przekazujemy zdarzenia do Państwa systemu SIEM. SIEM gromadzi i ocenia komunikaty bezpieczeństwa.

Te pięć wymogów decyduje u IBM o wyborze karty i dokumentacji w projekcie. Mówimy Państwu, która karta lub usługa je dziś spełnia i który dowód jest jeszcze w toku.

Pięć wymogów decyduje o wyborze karty. Decydują też o dokumentacji w projekcie. Mówimy Państwu, która karta spełnia który wymóg. Dotyczy to też usług chmurowych. Mówimy też, który dowód jest jeszcze w toku.