支付业务和 PKI 可以运行在同一台设备上吗？

可以，Excrypt HSM Platform 和 CryptoHub 都能在同一平台上承载这两类负载。隔离方式通过最多 75 个虚拟 HSM 和 250 个分区实现。在 Classic 系列中，两类任务仍然分开，其中 Vectera Plus 面向通用应用，Excrypt SSP Enterprise v.2 面向支付业务。

关于 FIPS 和 PCI 的信息可信度如何？

Futurex 标注了 FIPS 140-3 Level 3，但并未公布相应的证书编号，因此我们将这一信息标注为厂商声明。PCI 相关信息也因页面而异，例如 CryptoHub 有一个页面标注的是 FIPS 140-2 Level 3，而非 140-3。在招标项目中，我们会为每一项信息注明其来源。

我们现有的 Classic 系列设备会怎样？

Vectera Plus、Excrypt Plus 和 Excrypt SSP Enterprise v.2 目前仍在销售，我们尚未收到关于停售的任何公告。Excrypt HSM Platform 是其后续产品，而 Excrypt Plus 可升级至 SSP Enterprise v.2。

日常运维由谁负责？

这由您决定：您可以自行运维设备，也可以将运维工作交给我们，或者使用 VirtuCrypt。我们与关键基础设施运营方和受监管行业合作，并据此设计角色、日志和应急流程。

Futurex HSM 详解：平台与云端服务

Futurex 概览

硬件安全模块在经认证的设备中生成并存储密钥，从不以明文形式导出。Futurex 将两个世界融合在一起：涉及 PIN 和卡片密钥的支付业务，以及 PKI 等通用应用，都运行在同一平台上。单台设备最多支持 75 个虚拟 HSM 和 250 个应用分区。

密码学与硬件安全模块是我们的核心能力。我们熟悉 Excrypt 平台的分区方式、Classic 系列的指令集，以及迁移至 VirtuCrypt 云的路径。我们全程带领您的项目，从选型、集成直至运维阶段。

产品线: Excrypt HSM Platform, CryptoHub, Classic Enterprise, KMES
最高认证级别: FIPS 140-3 Level 3 与 PCI PTS HSM v4（厂商声明）
后量子算法: ML-KEM 与 ML-DSA，SLH-DSA 已宣布支持
部署形式: 1U 一体机、PCIe 板卡、VirtuCrypt 云

系列详解

系列 01

Excrypt HSM Platform

Excrypt HSM Platform 是当前一代硬件，用于替代 Classic 系列，Futurex 并未为此公布具体型号编号。单台设备最多支持 75 个虚拟 HSM 和 250 个应用分区，每秒可完成多达 40,000 次 RSA-2048 签名。Futurex 于 2025 年 6 月宣称，这是唯一通过 PCI HSM 认证且支持后量子算法的模块，此说法属于厂商声明。

查看设备图片

型号

Excrypt HSM Platform: 型号
Excrypt HSM 1U 一体机	每秒最多 100,000 笔支付交易
Excrypt HSM PCIe 板卡	安装于自有服务器内
Excrypt HSM in VirtuCrypt	部署于 Futurex 数据中心的云端实例

外形规格: 1U 一体机, PCIe 板卡, 云端实例
运维: 自有数据中心, VirtuCrypt 云

认证资质

FIPS 140-3 Level 3，厂商声明，未提供证书编号
依据列表页面信息，符合 PCI PTS HSM v4
依据产品页面信息，已通过 PCI HSM 认证

特性

单台设备最多 75 个虚拟 HSM 和 250 个分区
每秒最多 40,000 次 RSA-2048 签名，最多 100,000 笔支付交易
原生支持 ML-KEM 与 ML-DSA，SLH-DSA 已宣布支持
基于量子原理的随机数生成器
通过 Excrypt Universal Interface 兼容旧设备指令
PKCS#11、JCA 与 JCE、CNG、OpenSSL 及 REST

厂商声明

系列 02

CryptoHub

CryptoHub 是一个软件定义平台，将支付 HSM、通用 HSM、密钥管理和证书颁发机构整合到同一设备中。多个租户在其中彼此隔离运行，一体机采用 2U 机型，最多支持 75 个虚拟 HSM。除此之外，还提供虚拟化部署、容器化部署，以及由 Futurex 运维的 CryptoHub Cloud。各页面对认证级别的表述并不一致：一体机页面标注 FIPS 140-3 Level 3，云服务页面则标注 FIPS 140-2 Level 3 和 PCI HSM。

型号

CryptoHub: 型号
CryptoHub HSM	2U 一体机，最多支持 75 个虚拟 HSM
CryptoHub 虚拟版	虚拟一体机或容器
CryptoHub Cloud	由 Futurex 运维

外形规格: 2U 一体机, 虚拟一体机, 容器, 云服务
运维: 自有数据中心, 虚拟化部署, CryptoHub Cloud

认证资质

一体机达到 FIPS 140-3 Level 3，厂商声明
依据 CryptoHub Cloud 页面信息，达到 FIPS 140-2 Level 3
依据 CryptoHub Cloud 页面信息，已通过 PCI HSM 认证

特性

支付 HSM 与通用 HSM 融合于同一平台
覆盖完整生命周期的密钥管理，也适用于云端密钥
为 POS 终端、自动柜员机和物联网设备提供密钥注入
证书颁发机构、令牌化和数据库加密
支持多租户，单台设备内可划分多个区域
不同产品页面对 FIPS 级别的表述并不一致

厂商声明

系列 03

VirtuCrypt

VirtuCrypt 是由 Futurex 运维的云平台，截至 2025 年 12 月已在 16 个数据中心提供服务。该服务分为三档：Enterprise、按交易计费的 Elements，以及用于扩展自有数据中心设施的 Plus。在支付业务方面，Futurex 标注了 PCI PTS HSM v4，另有 FIPS 140-2 和 140-3 Level 3 以及 ML-KEM 与 ML-DSA。

型号

VirtuCrypt: 型号
Enterprise	在 Futurex 云中提供完整运维的档位
Elements	按交易计费
Plus	用于扩展自有数据中心设施

外形规格: 云服务
运维: Futurex 云, 扩展自有数据中心, AWS、Azure 和 Google Cloud 应用市场

认证资质

FIPS 140-2 与 FIPS 140-3 Level 3，厂商声明
PCI HSM
面向支付业务的 PCI PTS HSM v4

特性

16 个数据中心，截至 2025 年 12 月
支持 ML-KEM 与 ML-DSA 后量子算法
可通过 AWS、Azure 和 Google Cloud 的应用市场订购
通过 Excrypt Touch 导入自有密钥
分为三档：Enterprise、Elements 和 Plus

厂商声明

系列 04

Vectera Plus

Vectera Plus 是 Classic Enterprise 系列（即上一代产品）的通用 HSM，目前仍在销售。这款 1U 设备支持最高 8192 位的 RSA 运算以及 ECC 运算。虚拟 HSM 和分区将各应用彼此隔离，自定义代码则运行在 Secure Code Environment 中。它通过 FIPS 140-2 Level 3 认证，以及 PCI PTS 和 PCI HSM 认证。此外还符合 X9 TR-39，云端版本运行于 VirtuCrypt。

型号

Vectera Plus: 型号
Vectera Plus	面向通用场景的 1U 一体机
Vectera Plus in VirtuCrypt	同系列的云端版本

外形规格: 1U 一体机, 云端实例
运维: 自有数据中心, VirtuCrypt 云

认证资质

FIPS 140-2 Level 3
PCI PTS 与 PCI HSM
X9 TR-39

特性

最高 8192 位的 RSA 运算与 ECC 运算
单台设备内的虚拟 HSM 与分区
用于自定义代码的 Secure Code Environment
REST、PKCS#11、JCE、CNG 及 OpenSSL 接口
通过 VirtuCrypt 提供云端版本

厂商声明

系列 05

Excrypt SSP Enterprise v.2

Excrypt SSP Enterprise v.2 是 Classic Enterprise 系列的支付 HSM，向下兼容 Excrypt SSP9000 和 SSP9000 Enterprise。关于性能，各来源给出了两个数值：产品页面称每秒最多可完成 50,000 笔交易，发布公告则称超过 20,000 笔。其下还有 Excrypt Plus，每秒可完成 5,000 笔交易，支持 250 个分区，并可升级至 SSP Enterprise v.2。

型号

Excrypt SSP Enterprise v.2: 型号
Excrypt SSP Enterprise v.2	依据产品页面信息，每秒最多 50,000 笔交易
Excrypt Plus	每秒 5,000 笔交易，支持 250 个分区
Excrypt SSP9000 与 SSP9000 Enterprise	与之保持兼容的较早设备

外形规格: 1U 一体机
运维: 自有数据中心

认证资质

FIPS 140-2 Level 3
PCI PTS HSM
Excrypt Plus 符合 PCI PTS HSM v3
X9 TR-39

特性

Classic Enterprise 系列的支付 HSM
产品页面标注每秒最多 50,000 笔交易，发布公告标注超过 20,000 笔
向下兼容 Excrypt SSP9000 与 SSP9000 Enterprise
Excrypt Plus 每秒 5,000 笔交易，支持 250 个分区
Excrypt Plus 可升级至 SSP Enterprise v.2

厂商声明

系列 06

KMES Series 3

KMES Series 3 是一台内置 HSM 的 2U 密钥服务器，负责管理证书的完整生命周期。它运行离线根 CA 和签发 CA，支持 KMIP 协议，并实现租户隔离。它可以 BYOK、EKM 或 CSE 的形式将密钥引入公有云。Futurex 已宣布将推出支持后量子算法的混合 CA，运维可选在自有数据中心或 VirtuCrypt 中进行。此外还配有用于密钥注入、设备资产管理，以及远程密钥加载的设备。

型号

KMES Series 3: 型号
KMES Series 3	内置 HSM 的 2U 服务器
SKI Series 3	可同时为 18 台终端完成密钥注入
Guardian Series 3	管理和检查整个设备资产
Excrypt Touch	符合 FIPS 140-2 Level 3 的平板电脑，用于远程加载密钥

外形规格: 2U 一体机, 云端实例
运维: 自有数据中心, VirtuCrypt 云

认证资质

内置 HSM 通过 FIPS 140-2 Level 3 认证
PCI PTS HSM
Excrypt Touch 通过 FIPS 140-2 Level 3 认证

特性

离线根 CA 与签发 CA 集成于同一设备
管理证书的完整生命周期
面向公有云的 BYOK、EKM 与 CSE
面向第三方系统的 KMIP 支持，实现租户隔离
已宣布推出支持后量子算法的混合 CA

厂商声明

如何选择合适的产品线

在 Futurex 产品线中，四个要点决定选型：负载类型、设备代际、所需的证明材料，以及运维模式。我们通过研讨会逐一梳理这些要点，并将结果记录在决策文件中。

01

负载类型

PIN 和卡片密钥需要依据 PCI PTS 认证的支付 HSM，而 PKI、代码签名等通用应用则使用通用 HSM 即可满足。Excrypt HSM Platform 和 CryptoHub 可在单台设备上同时覆盖两类需求。Classic 系列则将任务分别交给 Vectera Plus 和 Excrypt SSP Enterprise v.2。

02

代际

Excrypt HSM Platform 是当前一代硬件，也是 Classic 系列的后续产品，而 Futurex 仍在销售 Classic 系列。如果您目前运行的是 Vectera Plus 或 Excrypt SSP Enterprise v.2，可以结合自身证书的有效期来规划迁移。

03

证明材料

Futurex 标注了 FIPS 140-3 Level 3，但并未公布相应的证书编号，因此我们将这一信息标注为厂商声明。在 PCI 认证方面，各页面的说法也不一致：当前平台标注为 v4，Excrypt Plus 则标注为 v3。

04

运维模式

您可以自行运维设备，也可以将运维工作交给我们，或者使用拥有 16 个数据中心的 VirtuCrypt，也可以通过各大云服务商的应用市场订购。在过渡阶段，Plus 档位可以将自有数据中心与云端相连接。整套方案均在德国数据中心内运行。

我们围绕 Futurex 提供的服务

我们提供的不只是设备本身，还包括前后配套的各项工作：选型、分区规划、应用系统对接、密钥仪式和运维。我们对密钥仪式的记录方式，能确保审计人员日后可以完整追溯。一支团队将为您提供从咨询阶段直至运维阶段的全程支持。

硬件安全模块咨询与集成
我们按需划分虚拟 HSM 和分区，并对接 PKCS#11、JCE 和 REST 接口。Classic 系列的指令，我们通过 Excrypt Universal Interface 进行转换。密钥仪式的记录，我们会以经得起审计核查的方式完成。
我们按需划分虚拟 HSM 和分区。我们对接 PKCS#11、JCE 和 REST 接口。我们还会转换 Classic 系列的指令。这项工作借助 Excrypt Universal Interface 完成。密钥仪式的记录供审计人员查阅。
HSM 与密钥管理
后量子密码就绪
我们会梳理当前哪些密钥和协议依赖 RSA 和 ECC，因为量子计算机对这两种算法都构成威胁。随后我们规划向 ML-KEM 和 ML-DSA 过渡的路径，并如实说明 SLH-DSA 目前仅处于已宣布阶段。
我们会梳理您的密钥和协议。我们查看哪些环节仍依赖 RSA 和 ECC。量子计算机可以破解这两种算法。随后我们规划向 ML-KEM 和 ML-DSA 过渡的路径。我们如实说明 SLH-DSA 目前仅处于已宣布阶段。
后量子密码学
云
我们将您的数据中心与 VirtuCrypt 或 CryptoHub Cloud 相连接。我们负责配置通过各大云服务商应用市场的订购渠道。您的自有密钥，我们通过 Excrypt Touch 导入。
我们将您的数据中心与 VirtuCrypt 相连接。这同样适用于 CryptoHub Cloud。我们配置通过各大云服务商应用市场的订购渠道。您的自有密钥，我们通过 Excrypt Touch 导入。
云

标准与证明材料

在 Futurex 产品线中，以下四项要求决定了选型和项目文档的编制。我们会告诉您，目前由哪条产品线满足每项要求，以及哪些没有证书编号的信息仍属于厂商声明。

标准项 / 要求 / OTOKO® 提供
标准项	要求	OTOKO® 提供
FIPS 140-3	具备明确物理防护等级的经认证密码模块	Excrypt HSM Platform 和 CryptoHub 达到 Level 3，但未公布证书编号
PCI PTS HSM	面向 PIN 和卡片密钥的经认证硬件	Excrypt HSM Platform 和 VirtuCrypt 符合 v4，Excrypt Plus 符合 v3
X9 TR-39	针对卡片业务密钥管理的审核	Vectera Plus 和 Excrypt SSP Enterprise v.2 均支持 TR-39
KMIP	跨厂商的密钥管理	KMES Series 3 和 CryptoHub 均通过 KMIP 与第三方系统对接

菜单

Futurex HSM：支付业务与 PKI 融合于同一平台

Futurex 概览

系列详解

Excrypt HSM Platform

CryptoHub

VirtuCrypt

Vectera Plus

Excrypt SSP Enterprise v.2

KMES Series 3

如何选择合适的产品线

我们围绕 Futurex 提供的服务

标准与证明材料

关于 Futurex 的常见问题

相关主题

您想进一步了解

Futurex

我们的客户

我们的合作伙伴