Uskuna xavfsizlik moduli

Uskuna xavfsizlik moduli (HSM) bu sirlarni (eng muhimi raqamli kalitlarni) himoya qiluvchi va boshqaradigan, raqamli imzolar uchun shifrlash va shifrni ochish funksiyalarini, kuchli autentifikatsiya va boshqa kriptografik funksiyalarni bajaradigan jismoniy hisoblash qurilmasi hisoblanadi. Ushbu modullar anʼanaviy ravishda plagin kartasi yoki toʻgʻridan-toʻgʻri kompyuter yoki tarmoq serveriga ulanadigan tashqi qurilma shaklida keladi. Uskuna xavfsizlik moduli bir yoki bir nechta xavfsiz kriptoprotsessor chiplarini oʻz ichiga oladi.

Dizayni 
HSMlar oʻzgartirishning koʻzga koʻrinadigan belgilari, masalan, oʻzgartirish yoki jurnalga yozish va ogohlantirish yoki HSMni ishlamay qolmasdan buzishni qiyinlashtiradigan oʻzgartirishga qarshilik yoki oʻzgartirishlar aniqlanganda kalitlarni oʻchirish kabi oʻzgartirishga javob beradigan xususiyatlarga ega boʻlishi mumkin. Har bir modul oʻzgartirish va avtobusni tekshirishning oldini olish uchun bir yoki bir nechta xavfsiz kriptoprotsessor chiplarini yoki moduldagi chiplar kombinatsiyasini oʻz ichiga oladi, ular soxtalashtirish, buzishga chidamli yoki sezgir oʻrash bilan himoyalangan.
Mavjud HSMlarning koʻp qismi asosan maxfiy kalitlarni boshqarish uchun moʻljallangan. Koʻpgina HSM tizimlarida HSM dan tashqarida ishlaydigan kalitlarni xavfsiz zaxiralash uchun vositalar mavjud. Kalitlar oʻralgan holda zaxiralanishi va kompyuter diskida yoki boshqa muhitda saqlanishi yoki aqlli-karta yoki boshqa xavfsizlik tokeni kabi xavfsiz portativ qurilma yordamida tashqarida saqlanishi mumkin.

HSMlar real vaqt rejimida avtorizatsiya qilish va muhim infratuzilmada autentifikatsiya qilish uchun ishlatiladi, shuning uchun odatda toʻplash, avtomatlashtirilgan uzilish va maydonda almashtiriladigan ortiqcha qismlarni oʻz ichiga olgan standart yuqori mavjudlik modellarini qoʻllab-quvvatlash uchun ishlab chiqilgan.

Bozorda mavjud boʻlgan baʼzi HSMlar HSM ning xavfsiz muhofazasi ichida maxsus ishlab chiqilgan modullarni bajarish imkoniyatiga ega. Bunday qobiliyat, masalan, maxsus algoritmlar yoki biznes mantigʻi xavfsiz va boshqariladigan sharoitda bajarilishi kerak boʻlgan vaziyatlarda foydalidir. Modullar ona C tilida ishlab chiqilishi mumkin. NET, Java yoki boshqa dasturlash tillari. Bundan tashqari, kelgusi avlod HSM’lari moslashtirish va qayta dasturlashni talab qilmasdan toʻliq operatsion tizimlar va COTS dasturiy taʼminotini yuklash va ishga tushirish kabi murakkabroq vazifalarni bajarishi mumkin. Bunday noanʼanaviy dizaynlar anʼanaviy HSM-larning mavjud dizayn va ishlash cheklovlarini yengib oʻtadi va shu bilan birga dasturga xos kodni himoya qilish foydasini taʼminlaydi. Ushbu ijro mexanizmlari HSM ning FIPS yoki Common Criteria tekshiruvi holatini himoya qiladi.

Sertifikatlash 
Ilovalar va infratuzilmani himoya qilishda muhim rol oʻynaganligi sababli, umumiy maqsadli HSM’lar va/yoki kriptografik modullar odatda Umumiy mezonlar (masalan, Himoya profili EN 419 221-5, „Ishonch uchun kriptografik modul“) kabi xalqaro tan olingan standartlarga muvofiq sertifikatlanadi. Xizmatlar") yoki FIPS 140 (hozirgi 3-versiya, odatda FIPS 140-3 deb ataladi). FIPS 140 xavfsizlik sertifikatining eng yuqori darajasiga erishish mumkin boʻlgan Xavfsizlik darajasi 4 boʻlsa-da, HSMlarning aksariyati 3-darajali sertifikatga ega. Common Criteria tizimida eng yuqori EAL (Evaluation Assurance Level) EAL7 hisoblanadi, HSMlarning aksariyati EAL4+ sertifikatiga ega. Moliyaviy toʻlov ilovalarida foydalanilganda, HSM xavfsizligi koʻpincha Toʻlov kartalari sanoati xavfsizligi standartlari kengashi tomonidan belgilangan HSM talablariga muvofiq tasdiqlanadi.

Qoʻllanilishi 
Uskuna xavfsizlik moduli raqamli kalitlardan foydalanadigan har qanday dasturda ishlatilishi mumkin. Odatda, kalitlar yuqori qiymatga ega boʻladi – agar kalit buzilgan boʻlsa, uning egasiga sezilarli darajada salbiy taʼsir koʻrsatadi.

HSM funksiyalari quyidagilardan iborat:

 bortda xavfsiz kriptografik kalitlarni yaratish
 bortda xavfsiz kriptografik kalitlarni saqlash, hech boʻlmaganda yuqori darajadagi va eng sezgir kalitlar uchun, odatda asosiy kalitlar deb ataladi.
 kalit boshqaruvi
 kriptografik va maxfiy maʼlumotlar materiallaridan foydalanish, masalan, parolni hal qilish yoki raqamli imzo funktsiyalarini bajarish
 toʻliq bir xil boʻlmagan (assimetrik) va simmetrik kriptografiya uchun dastur serverlarini tushirish.

HSM’lar, shuningdek, maʼlumotlar bazalari uchun shaffof maʼlumotlarni shifrlash kalitlarini va disk yoki lenta kabi saqlash qurilmalari uchun kalitlarni boshqarish uchun joylashtirilgan.

HSMlar ushbu materiallarni, shu jumladan kriptografik kalitlarni oshkor qilish, ruxsatsiz foydalanish va potensial raqiblardan mantiqiy va jismoniy himoya qiladi.

HSM simmetrik va bir xil boʻlmagan (ochiq kalitli) kriptografiyani qoʻllab-quvvatlaydi. Sertifikat organlari va raqamli imzolash kabi baʼzi ilovalar uchun kriptografik material ochiq kalitli kriptografiyada ishlatiladigan assimetrik kalit juftlari (va sertifikatlar) hisoblanadi. Maʼlumotlarni shifrlash yoki moliyaviy toʻlov tizimlari kabi boshqa ilovalar bilan kriptografik material asosan simmetrik kalitlardan iborat.

Baʼzi HSM tizimlari, shuningdek, qurilma kriptografik tezlatgichlardir. Ular, odatda, nosimmetrik kalit operatsiyalari uchun faqat apparat yechimlarining ishlashini yengib boʻlmaydi. Biroq, sekundiga 1 dan 10 000 tagacha 1024-bitli RSA belgilarining ishlashi bilan HSMlar assimetrik kalit operatsiyalari uchun muhim protsessor yukini taʼminlay oladi. Milliy Standartlar va Texnologiyalar Instituti (NIST) 2010-yildan boshlab 2048 bitli RSA kalitlaridan foydalanishni tavsiya qilganligi sababli uzoqroq kalit oʻlchamlarida ishlash muhimroq boʻldi. Ushbu muammoni hal qilish uchun koʻpchilik HSMlar endi elliptik egri kriptografiyani (ECC) qoʻllab-quvvatlaydi, bu esa qisqaroq kalit uzunliklari bilan kuchliroq shifrlashni taʼminlaydi.

PKI muhiti (CA HSMs) 
PKI muhitlarida HSMlar assimetrik kalit juftlarini yaratish, saqlash va qayta ishlash uchun sertifikatlashtirish organlari (CA) va roʻyxatga olish organlari (RA) tomonidan ishlatilishi mumkin. Bunday holda, qurilmaning baʼzi asosiy xususiyatlari boʻlishi kerak, xususan:

 Mantiqiy va jismoniy yuqori darajadagi himoya
 Koʻp qismli foydalanuvchi avtorizatsiya sxemasi (maxfiy almashishga qarang)
 Toʻliq audit va jurnal izlari
 Xavfsiz kalit zaxira nusxasi

Boshqa tomondan, PKI muhitida qurilmaning ishlashi ham onlayn, ham oflayn operatsiyalarda unchalik ahamiyatga ega emas, chunki Roʻyxatdan oʻtish organining tartiblari infratuzilmaning ishlashidagi qiyinchiliklarni anglatadi.

Karta toʻlov tizimi HSMs (bank HSMs) 
Ixtisoslashgan HSMlar toʻlov kartalari sanoatida qoʻllanadi. HSMlar tranzaksiyalarni qayta ishlash va sanoat standartlariga rioya qilish uchun zarur boʻlgan umumiy maqsadli funktsiyalarni ham, maxsus funksiyalarni ham qoʻllab-quvvatlaydi. Ular odatda standart API xususiyatiga ega emas.

Odatdagi ilovalar tranzaksiyani avtorizatsiya qilish va toʻlov kartasini shaxsiylashtirish boʻlib, ular quyidagi funksiyalarni talab qiladi:

 foydalanuvchi kiritgan PIN-kod karta maʼlum boʻlgan mos yozuvlar PIN-kodiga mos kelishini tekshiring
 karta xavfsizlik kodlarini tekshirish yoki ATM kontrolleri yoki POS terminali bilan birgalikda EMV asosidagi tranzaksiyaning xostni qayta ishlash qismlarini amalga oshirish orqali kredit/debit karta tranzaksiyalarini tekshirish
 aqlli-karta bilan kripto-API-ni qoʻllab-quvvatlash (masalan, EMV)
 boshqa avtorizatsiya xostiga yuborish uchun PIN blokni qayta shifrlash
 xavfsiz kalit boshqaruvini amalga oshirish
 POS ATM tarmogʻini boshqarish protokolini qoʻllab-quvvatlaydi
 xost-host kalitining de-fakto standartlarini qoʻllab-quvvatlash | maʼlumotlar almashinuvi API
 „PIN-kod“ni yaratish va chop etish
 magnit chiziqli karta uchun maʼlumotlarni yaratish (PVV, CVV)
 karta kalitlarini yaratish va smart-kartalarni shaxsiylashtirish jarayonini qoʻllab-quvvatlash

Bank bozorida HSM standartlarini ishlab chiqaruvchi va qoʻllab-quvvatlovchi asosiy tashkilotlar toʻlov kartalari sanoati xavfsizligi standartlari kengashi, ANS X9 va ISO hisoblanadi.

SSL ulanishini oʻrnatish 
HTTPS (SSL / TLS) dan foydalanishi kerak boʻlgan ishlash uchun muhim ilovalar, odatda, bir nechta katta butun sonlarni koʻpaytirishni talab qiladigan RSA operatsiyalarini xost protsessoridan HSM qurilmasiga koʻchirish orqali SSL Acceleration HSM dan foydalanishi mumkin. Oddiy HSM qurilmalari soniyasiga 1 dan 10 000 gacha 1024 bitli RSA operatsiyalarini bajarishi mumkin. Uzunroq kalit oʻlchamlarida baʼzi ishlash tobora muhim ahamiyat kasb etmoqda. Ushbu muammoni hal qilish uchun baʼzi HSMlar endi ECCni qoʻllab-quvvatlaydi. Ixtisoslashgan HSM qurilmalari soniyasiga 20 000 ta operatsiyani bajarishi mumkin.

DNSSEC 
Roʻyxatga olish kitoblarining ortib borayotgan soni katta zona fayllarini imzolash uchun ishlatiladigan asosiy materiallarni saqlash uchun HSM’lardan foydalanadi. OpenDNSSEC DNS zonasi fayllarini imzolashni boshqaradigan ochiq manbali vositadir.

2007 yil 27 yanvarda ICANN va Verisign AQSH Savdo vazirligi koʻmagida DNS ildiz zonalari uchun DNSSEC ni oʻrnatishni boshladi. Ildiz imzosi tafsilotlarini Root DNSSEC veb-saytida topish mumkin.

Blokcheyn va HSMlar 
Blokcheyn texnologiyasi kriptografik operatsiyalarga bogʻliq. Shaxsiy kalitlarni himoya qilish bir xil boʻlmagan (assimetrik) kriptografiyadan foydalanadigan blokcheyn jarayonlari xavfsizligini taʼminlash uchun zarurdir.

HSM va blokcheyn oʻrtasidagi sinergiya bir nechta maqolalarda eslatib oʻtilgan va ularning shaxsiy kalitlarni himoya qilish va identifikatsiyani tekshirishdagi rolini taʼkidlaydi, masalan, blokcheynga asoslangan mobillik echimlari kabi kontekstlarda.

Hyperledger tizimidagi Fabric tugunlari tomonidan amalga oshirilgan kriptografik operatsiyalar qurilma xavfsizligi moduliga delegatsiyani qoʻllab-quvvatlaydi.

Kriptovalyuta hamyoni 
Kriptovalyutaning shaxsiy kalitlari HSM-dagi kriptovalyuta hamyonida saqlanishi mumkin.

Shuningdek koʻrishingiz mumkin: 

 Elektron pul oʻtkazmalari
 FIPS 140
 Ochiq kalitlar infratuzilmasi
 PKCS 11
 Xavfsiz kriptoprotsessor
 Xavfsizlik belgisi
 Shaffof maʼlumotlarni shifrlash
 Xavfsizlik kaliti
 Ishonchli platforma moduli

Foydalanilgan adabiyotlar: