وحدة أمان الأجهزة  وحدة أمان الأجهزة (بلانجليزية:Hardware security module) (HSM) هي جهاز حاسوب مادي يحمي المفاتيح الرقمية ويديرها ويؤدي وظائف التشفير وفك التشفير للتوقيعات الرقمية والمصادقة القوية ووظائف التشفير الأخرى. تأتي هذه الوحدات عادةً في شكل بطاقة إضافية أو جهاز خارجي يتم توصيله مباشرة بجهاز كمبيوتر أو خادم شبكة. تحتوي وحدة أمان الأجهزة على شريحة معالج تشفير آمنة واحدة أو أكثر.  قد تحتوي وحدة أمان الأجهزة على ميزات توفر أدلة العبث مثل العلامات المرئية للعبث أو التسجيل والتنبيه، أو مقاومة العبث التي تجعل العبث صعبًا دون جعل HSM غير قابل للتشغيل، أو استجابة العبث مثل حذف المفاتيح عند اكتشاف العبث.  تحتوي كل وحدة على شريحة معالجة مشفرة آمنة واحدة أو أكثر لمنع العبث وسبر الناقل، أو مجموعة من الرقائق في وحدة محمية بواسطة العبوة الواضحة للعبث، أو مقاومة العبث، أو العبث المتجاوب.  تم تصميم الغالبية العظمى من وحدات أمان الأجهزة الموجودة بشكل أساسي لإدارة المفاتيح السرية. تمتلك العديد من أنظمة وحدة أمان الأجهزة وسيلة لإجراء نسخ احتياطي آمن للمفاتيح التي تتعامل معها خارج الوحدة. قد يتم نسخ المفاتيح احتياطيًا في شكل ملفوف وتخزينها على قرص كمبيوتر أو وسائط أخرى، أو خارجيًا باستخدام جهاز محمول آمن مثل البطاقة الذكية أو بعض رموز الأمان الأخرى.  تُستخدم وحدة أمان الأجهزة من أجل التفويض في الوقت الفعلي والمصادقة في البنية التحتية الحيوية، وبالتالي يتم تصميمها عادةً لدعم النماذج القياسية عالية التوافر بما في ذلك التجميع، وتجاوز الفشل التلقائي، والمكونات الفائضة التي يمكن استبدالها بالمجال.  عدد قليل من HSMs المتوفرة في السوق لديها القدرة على تنفيذ وحدات مطورة خصيصًا داخل حاوية وحدة أمان الأجهزة الآمنة. هذه القدرة مفيدة، على سبيل المثال، في الحالات التي يجب فيها تنفيذ خوارزميات خاصة أو منطق الأعمال في بيئة آمنة وخاضعة للرقابة. يمكن تطوير الوحدات بلغة (سي C الأصلية)أو.NET أو Java أو لغات برمجة أخرى. علاوة على ذلك، يمكن أن يتعامل الجيل القادم من وحدة أمان الأجهزة مع مهام أكثر تعقيدًا مثل تحميل وتشغيل أنظمة تشغيل كاملة و COTSالبرنامج دون الحاجة إلى التخصيص وإعادة البرمجة. تتغلب مثل هذه التصميمات غير التقليدية على قيود التصميم والأداء الموجودة في أنظمة وحدة أمان الأجهزة التقليدية. أثناء توفير ميزة تأمين التعليمات البرمجية الخاصة بالتطبيق، تعمل محركات التنفيذ هذه على حماية حالة FIPS الخاصة بـ HSM أو التحقق من صحة المعايير العامة   نظرًا للدور الحاسم الذي تلعبه في تأمين التطبيقات والبنية التحتية، يتم اعتماد وحدة أمان الأجهزة و / أو وحدات التشفير عادةً وفقًا للمعايير المعترف بها دوليًا مثل المعايير المشتركة أو FIPS 140 لتزويد المستخدمين بضمان مستقل بأن تصميم وتنفيذ المنتج وتشفير الخوارزميات سليمة. أعلى مستوى يمكن الحصول عليه من شهادة الأمان FIPS 140 هو مستوى الأمان 4 (بشكل عام). عند استخدامه في تطبيقات المدفوعات المالية، غالبًا ما يتم التحقق من صحة أمان وحدة أمان الأجهزة وفقًا لمتطلبات الوحدة المحددة من قبل مجلس معايير أمان صناعة بطاقات الدفع.  يمكن استخدام وحدة أمان الأجهزة في أي تطبيق يستخدم المفاتيح الرقمية. عادةً ما تكون المفاتيح ذات قيمة عالية - مما يعني أنه سيكون هناك تأثير سلبي كبير على مالك المفتاح إذا تم اختراقه.  وظائف وحدة أمان الأجهزة هي:   يتم نشر وحدة أمان الأجهزة أيضًا لإدارة مفاتيح تشفير البيانات الشفافة لقواعد البيانات والمفاتيح لأجهزة التخزين مثل القرص أو الشريط.  توفر وحدة أمان الأجهزة الحماية المنطقية والمادية لهذه المواد، بما في ذلك مفاتيح التشفير، من الكشف والاستخدام غير المصرح به والخصوم المحتملين.  تدعم وحدة أمان الأجهزة كلاً من التشفير المتماثل وغير المتماثل (المفتاح العام). بالنسبة لبعض التطبيقات، مثل المراجع المصدقة والتوقيع الرقمي، فإن مادة التشفير هي أزواج (وشهادات) مفاتيح غير متماثلة تُستخدم في تشفير المفتاح العام.  مع التطبيقات الأخرى ، مثل تشفير البيانات أو أنظمة الدفع المالية، تتكون مادة التشفير أساسًا من مفاتيح متماثلة.  بعض أنظمة وحدة أمان الأجهزة هي أيضًا مسرعات تشفير للأجهزة. لا يمكنهم عادةً التغلب على أداء حلول الأجهزة فقط لعمليات المفاتيح المتماثلة. ومع ذلك، مع نطاقات الأداء من 1 إلى 10000 علامة RSA 1024 بت في الثانية، يمكن أن توفر وحدة أمان الأجهزة تفريغًا كبيرًا لوحدة المعالجة المركزية لعمليات المفاتيح غير المتماثلة. منذ أن أوصى المعهد الوطني للمعايير والتكنولوجيا (NIST) باستخدام مفاتيح RSA 2048 بت اعتبارًا من عام 2010،  أصبح الأداء في أحجام المفاتيح الأطول أكثر أهمية. لمعالجة هذه المشكلة، تدعم معظم وحدة أمان الأجهزة الآن تشفير المنحنى الإهليلجي (ECC)، والذي يوفر تشفيرًا أقوى مع أطوال مفاتيح أقصر.  في بيئات PKI ، يمكن استخدام HSMs من قبل سلطات التصديق (CAs) وسلطات التسجيل (RAs) لإنشاء أزواج المفاتيح غير المتماثلة وتخزينها والتعامل معها. في هذه الحالات، هناك بعض الميزات الأساسية التي يجب أن يتمتع بها الجهاز، وهي:   من ناحية أخرى، يعتبر أداء الجهاز في بيئة PKI أقل أهمية بشكل عام، في كل من العمليات المتصلة وغير المتصلة بالإنترنت، حيث تمثل إجراءات سلطة التسجيل عنق الزجاجة في أداء البنية التحتية.  تستخدم HSMs المتخصصة في صناعة بطاقات الدفع. تدعم HSMs كلاً من وظائف الأغراض العامة والوظائف المتخصصة المطلوبة لمعالجة المعاملات والامتثال لمعايير الصناعة. وهي عادة لا تتميز بواجهة برمجة تطبيقات قياسية.  التطبيقات النموذجية هي ترخيص المعاملات وتخصيص بطاقة الدفع، والتي تتطلب وظائف مثل:   المنظمات الرئيسية التي تنتج وتحافظ على معايير HSM في السوق المصرفية هي مجلس معايير أمان صناعة بطاقات الدفع و ANS X9 و ISO .  يمكن أن تستفيد التطبيقات ذات الأداء الحرج التي يجب أن تستخدم HTTPS (SSL / TLS) من استخدام SSL Acceleration HSM عن طريق نقل عمليات RSA ، والتي تتطلب عادةً العديد من مضاعفات الأعداد الصحيحة الكبيرة، من وحدة المعالجة المركزية المضيفة إلى جهاز HSM. يمكن لأجهزة HSM النموذجية إجراء حوالي 1 إلى 10000 عملية RSA 1024 بت / ثانية. بعض الأداء في أحجام المفاتيح الأطول أصبح ذا أهمية متزايدة. لمعالجة هذه المشكلة، تدعم بعض HSMs  الآن ECC. يمكن أن تصل أجهزة HSM المتخصصة إلى أرقام تصل إلى 20000 عملية في الثانية.  يستخدم عدد متزايد من السجلات HSMs لتخزين المواد الرئيسية المستخدمة لتوقيع ملفات مناطق كبيرة. OpenDNSSEC هي أداة مفتوحة المصدر تدير توقيع ملفات منطقة DNS .  في 27 يناير 2007، بدأت ICANN و Verisign ، بدعم من وزارة التجارة الأمريكية، في نشر DNSSEC لمناطق جذر DNS .  يمكن العثور على تفاصيل توقيع الجذر على موقع الويب الخاص بـ Root DNSSEC.  يمكن تخزين Cryptocurrency في محفظة cryptocurrency على HSM.