Korunan anahtarlarla PKI ve imzalar.

HSM, bir imza anahtarını öngörülen sınır içinde korur; bir yazılım paketinin onaylanıp onaylanmayacağına kendisi karar vermez. Bu nedenle imza çağrılarını tanımlanmış uygulamalara, yetkilere ve onaylara bağlarız. Kod imzalamada, sonradan yapılan değişikliklerin fark edilebilmesi için artefakt ile onay birbirine bağlanır. CA yazılımı ve HSM sağlayıcı modülü (provider), kullanılan algoritmayı ve anahtar erişimini birlikte desteklemelidir. Trust store'lar, durum kontrolü ve yenileme, temsil edici karşı sistemlerle test edilir.

Kaybolmuş bir yönetici kartı, süresi dolmuş sertifikalar ve ele geçirilmiş bir düzenleyen CA, birbirinden farklı olaylardır. Uygun süreçler oluşturur ve üzerinde anlaşılan kurtarma yolunu test ederiz. Kabul süreci; diğerlerinin yanı sıra sertifika düzenleme, yenileme, iptal ve hatalı talepleri belgeler. Mevcut sertifika profilleri, cihaz sınıfları ve güven ilişkileri, geçiş sırasında paralel işletimi planlamaya yardımcı olur.

İlgili ürünün desteklediği bağlantıyı, örneğin bir CNG Key Storage Provider, PKCS #11 veya bir Java sağlayıcı modülü (provider) üzerinden inceleriz. Aynı algoritma adı tek başına uyumluluğu garanti etmez: mekanizmaların, anahtar özniteliklerinin, dolgunun (padding) ve sağlayıcı modülü sürümünün de uyması gerekir. Mevcut CA'lar için, izin verilen bir anahtar aktarımının mümkün olup olmadığı veya geçiş aşaması olan yeni bir CA'nın gerekip gerekmediği netleştirilir. Bağlı sistemlerin güveni, testte açıkça dikkate alınır.

Derleme hattı, sürekli olarak serbestçe kullanılabilir bir üretim anahtarına sahip olmamalıdır. Derlemeyi ve imza onayını ayırır, işleri tanımlanmış bir sisteme bağlar ve hangi artefaktların hangi anahtarla imzalanabileceğini belirleriz. Zaman damgası, artefakt özetinin (hash) kanıtı ve kayıt tutma, imza biçimine uygun şekilde planlanır. Bu noktada HSM bir koruma bileşenidir: kodun incelenmesi ve yayınlama kararı, geliştirme ve onay sürecinin görevleri olarak kalır.

Bir kuruluş, cihazlar, kullanıcılar ve iç hizmetler için zaten sertifikalar işletmektedir. OTOKO®, sertifika profillerini, dağıtımı ve güven zincirlerini kaydeder ve öngörülen HSM bağlantısını önce üretim dışında dener. Ardından yenileme, iptal bilgileri ve geri dönüş sınırları dahil olmak üzere geçişi planlarız. Devirden önce somut karşı sistemler test edilir: düzenlenen bir sertifika, ancak oturum açma, hizmet erişimi veya imza doğrulaması öngörülen sistemde çalıştığında bir başarı sayılır.