面向密码学与数据安全的产品

我们从您在认证级别、负载、接口和运维模式方面的需求出发，与七家厂商的系列产品进行比对。如果有多个系列都适用，我们会坦诚说明其中的取舍，例如认证级别与吞吐量之间的权衡。结果会记录在一份决策文件中，供您在内部传阅。

我们从您的需求出发。需求包括认证级别、负载、接口和运维模式。我们将它们与七家厂商的系列产品进行比对。通常会有多个系列适合您的情况。这时我们会坦诚说明其中的取舍。例如认证级别与吞吐量之间的权衡。结果记录在一份决策文件中。您可以在内部传阅这份文件。

不是，我们是这里所列各厂商的合作伙伴，负责选型、集成和运维。我们不宣称拥有排他性，因为选择取决于您的需求，而非某份框架合同。采购和许可事宜，我们会与厂商及您的采购部门共同厘清。

不是，我们不是分销商。我们是这里所列各厂商的合作伙伴。我们负责选型、集成和运维。我们不宣称拥有排他性。选择取决于您的需求。它不取决于某份框架合同。采购和许可事宜由我们共同厘清。厂商和您的采购部门都会参与其中。

目前，本板块涵盖一个类别：硬件安全模块，包含从 Utimaco 到 IDEMIA 共七家厂商的产品页面。随着调研为每个系列提供充分依据，密钥管理、签名和数据加密等更多类别将陆续加入。如果您正在评估的产品尚未收录，请与我们联系。

目前有一个类别。它叫做硬件安全模块。其中包含从 Utimaco 到 IDEMIA 共七家厂商的产品页面。更多类别即将加入。计划中的类别包括密钥管理、签名和数据加密。一旦调研为每个系列提供充分依据，我们就会发布这些类别。如果缺少某个产品，请与我们联系。

这由您决定。您可以自行运维设备，将运维工作移交给我们，或使用厂商以服务形式提供的方案。一个团队为您提供从咨询到运维的全程支持，确保项目结束后联系人和文档保持不变。

这由您决定。您可以自行运维设备。您可以把运维工作移交给我们。您也可以使用厂商以服务形式提供的方案。一个团队为您提供从咨询到运维的全程支持。项目结束后，联系人和文档保持不变。

本板块汇集了生成、保护密钥并使其可供应用使用的产品。我们是各厂商的合作伙伴，而非分销商，因此我们会将各系列与您在认证级别、负载和运维方面的需求进行比对。厂商页面上的每一项数据均来自官方产品文档。 密码学和硬件安全模块是我们的核心能力。我们熟悉各产品线的认证方案、接口和局限，并会告诉您设备在运行中何时会达到负载上限。基于这些知识，我们提出的选型建议经得起您的审计人员的检验。

我们将多家厂商的系列产品与您的需求进行比较，并明确指出其中的取舍，而不是一味推荐某一条产品线。

一个团队为您提供从咨询到运维的全程支持。同一批人员负责对接您的应用，并在之后的日常运维中监控设备。

密码学和硬件安全模块是我们的核心能力。我们熟悉固件、密钥仪式和迁移路径，而不仅仅是数据表上的信息。

整套解决方案均在德国数据中心运行。我们会事先与您的审计部门厘清地点、访问权限和文档要求。

硬件安全模块用于保护密钥，并在限定的安全边界内执行受支持的操作。某个密钥是否允许导出，由其配置和所支持的机制共同决定。PKCS #11、CNG 或 Java 提供程序，以及密钥管理接口，各自承担不同的任务。我们会核查完整的应用链条，而不仅仅是核对某个接口的名称。 密码学和硬件安全模块是我们的核心能力。我们熟悉各厂商的产品系列、证书编号，以及每个平台的性能边界。我们全程引导您的项目，从选型到密钥仪式，再到日常运维。

四个典型任务展示了 HSM 的合理应用场景。具体需要哪些证明材料和防护机制，取决于您的应用和实际需求。仅凭一台 HSM，既不能证明整个环境的安全性，也不能证明其合规性。

这四个示例展示了 HSM 可能承担的任务。您需要哪些证明材料，取决于具体的使用场景。一台通过认证的设备，并不会自动让整个环境变得安全。

根 CA 和签发 CA 可以通过受支持的 HSM 对接方式使用各自的私钥，其中包括相应的证书配置文件、角色和吊销流程。即便密钥受到保护，一旦 CA 服务器遭到攻破，仍可能触发未经许可的请求；因此，我们同时会对审批流程和应用本身进行安全加固。

证书颁发机构负责签发证书。其私钥可以存放在 HSM 中。但相关软件仍然必须受到保护。否则，一旦有人掌控这套软件，就可能申请未经授权的签名。

支付 HSM 支持专为 PIN 处理、卡片密钥或密钥分发设计的功能。我们会核查指令集、密钥算法、合作方要求以及设备具体的认证状态。通用型 HSM 并不能自动作为替代方案。

支付 HSM 专为支付业务中的任务而设计。它可以用来协助 PIN 校验等工作。我们会核查所需的功能以及合作方的要求。并非每台 HSM 都能胜任这些任务。

基于 HSM 的签名可以保护软件和固件所用的密钥。此外，流程中还必须明确由谁批准哪个制品，以及谁有权对其签名。密钥保管方面的要求，会根据所使用的证书和信任模型进行核查。

数字签名有助于核实软件及其发布者。HSM 可以保护签名密钥。此外，还必须明确规定由谁批准对哪些软件进行签名。

密钥管理系统可以通过 KMIP 等受支持的协议对接应用和存储系统，并将 HSM 用作防护组件。针对 BYOK（自带密钥）、外部密钥管理和信封加密，我们会核查各类密钥分别在何处使用，以及谁可以触发相关操作。仅采用 BYOK，并不能排除服务商访问数据的可能性。

一套中央系统可以管理应用和存储所使用的密钥。HSM 可以用来保护其中特别重要的密钥。我们会核查谁有权使用哪些密钥。在云端拥有自己的密钥，并不自动意味着服务商无法读取数据。