HSM — cryptographic keylarni himoyalangan hardware ichida yaratish, saqlash va ular bilan operation bajarish uchun mo‘ljallangan maxsus qurilma yoki xizmat. To‘liq nomi Hardware Security Module.
HSM private va symmetric key materialini oddiy application memory’sidan ajratib, kuchli access control, audit va tamper resistance beradi.
Key hardware ichida
HSMning asosiy g‘oyasi — sensitive key material imkon qadar qurilmadan plaintext shaklda chiqmasligi.
Application HSMga:
- sign;
- decrypt;
- encrypt;
- key generate;
- wrap;
- unwrap
operationini so‘raydi.
Natija qaytadi, ammo private keyning o‘zi applicationga berilmaydi.
Tamper resistance
HSM fizik ochish, kuchlanish, harorat yoki boshqa aralashuvni aniqlashga mo‘ljallangan himoyalarga ega bo‘lishi mumkin.
Tamper hodisasida key material zeroize qilinishi ehtimoli bor.
Aniq himoya darajasi model va certificationga bog‘liq.
Random number generation
Key generation uchun sifatli hardware random manba ishlatiladi.
Random sifati cryptographic key xavfsizligi uchun muhim.
HSM ichki self-test va health check bajarishi mumkin.
Cryptographic operation
HSM:
- symmetric encryption;
- asymmetric encryption;
- digital signature;
- MAC;
- key derivation;
- certificate operation
ni hardware yoki himoyalangan firmware orqali bajaradi.
Performance modelga va algorithmga bog‘liq.
Private key
Certificate authority, code signing va TLS private keylari HSMda saqlanishi mumkin.
Server signature operationini HSMga yuboradi.
Key file sifatida diskka export qilinmasa theft xavfi kamayadi.
PIN va role
HSM accessi role va credentiallar bilan boshqariladi.
Masalan:
Muhim operation uchun quorum yoki bir nechta operator tasdig‘i talab qilinishi mumkin.
Quorum
Key yaratish, backup restore yoki high-value signing uchun M-of-N model ishlatilishi mumkin.
Masalan, besh operatorning uchtasi smart card yoki credential bilan qatnashadi.
Bu bitta administratorga to‘liq nazorat bermaslikka yordam beradi.
Key wrapping
Keyni boshqa joyga ko‘chirish kerak bo‘lsa u boshqa key bilan shifrlangan ko‘rinishda export qilinishi mumkin.
Bu key wrapping.
Faqat authorized HSM yoki trusted environment uni unwrap qila oladi.
Plaintext export ko‘pincha taqiqlanadi.
Backup
HSM ishdan chiqsa keylarni tiklash uchun secure backup talab qilinadi.
- encrypted;
- access controlled;
- offsite;
- quorum bilan;
- restore testli
bo‘ladi.
Backup yo‘qolsa encrypted data yoki signing identity qayta tiklanmasligi mumkin.
High availability
Production HSM cluster yoki redundant qurilmalar bilan ishlaydi.
Application failover’da boshqa HSMga o‘tadi.
Key material va policy replica’lar orasida xavfsiz sinxron qilinadi.
Latency va capacity rejalashtiriladi.
Network HSM
Network HSM bir nechta serverga TCP yoki maxsus secure channel orqali cryptographic xizmat beradi.
Afzalligi — markaziy boshqaruv va yuqori capacity.
Network, authentication va availability critical bo‘ladi.
Cloud HSM
Cloud provider dedicated yoki managed HSM service taklif qilishi mumkin.
Tashkilot key va partitionni boshqaradi, provider fizik infratuzilmani boshqaradi.
Responsibility model, backup, region va compliance aniq tushuniladi.
Payment HSM
Payment tizimlarida PIN, karta keylari va transaction cryptography uchun maxsus HSM ishlatiladi.
Ularning command set va compliance talablari umumiy-purpose HSMdan farq qilishi mumkin.
Sensitive payment operationlari qat’iy dual control bilan boshqariladi.
Code signing
Software release private key bilan imzolanadi.
Key HSMda bo‘lsa build server private key file’ini olmaydi.
Faqat tasdiqlangan artifact va pipeline signature operationiga ruxsat oladi.
Compromised pipeline baribir zararli artifactni imzolashga urinishi mumkin, shu sababli approval va provenance kerak.
Certificate Authority
Root yoki issuing CA private keylari HSMda himoyalanadi.
Root CA ko‘pincha offline HSM bilan ishlaydi.
Issuing CA online bo‘lsa network, quorum, audit va key ceremony muhim.
PKCS #11
Ko‘p HSMlar applicationlar bilan standard cryptographic interface orqali ishlaydi.
PKCS #11 shunday keng tarqalgan API oilalaridan biri.
Vendor library, token slot, session va object handle tushunchalari mavjud.
Performance
HSM barcha bulk data’ni shifrlash uchun ishlatilsa bottleneck bo‘lishi mumkin.
Ko‘pincha envelope encryption orqali HSM faqat data keylarni wrap yoki unwrap qiladi.
Bulk encryption tez symmetric code bilan application yoki storage’da bajariladi.
HSM va TPM
HSM ko‘p key va yuqori security operationlari uchun maxsus qurilma yoki service.
TPM odatda bitta platformaga bog‘langan chip bo‘lib boot measurement, sealing va device identity uchun ishlatiladi.
Ikkalasining threat modeli va capacity’si farq qiladi.
Audit integrity
HSM operation loglari qurilmaning o‘zida yoki tashqi immutable tizimda himoyalanadi. Operator logni o‘chirib, key operationini yashira olmasligi kerak. HSM va application loglari correlation ID bilan bog‘lanishi mumkin.
Key ceremony
Root key yoki CA key yaratish formal marosim bilan bajarilishi mumkin. Ishtirokchilar, qurilma holati, random generation, backup va seal jarayoni hujjatlashtiriladi. Bir nechta witness va dual control keyning ishonchli yaratilganini tasdiqlaydi.
Firmware
HSM firmware’i ham software bo‘lib, zaiflik va update lifecycle’iga ega. Update vendor signature bilan tekshiriladi, compatible backup mavjud bo‘ladi va high availability qurilmalar bosqichma-bosqich yangilanadi.
Bog‘liq tushunchalar
Hardware Security Module, Cryptographic key, Tamper resistance, Key wrapping, Digital signature, Certificate Authority, PKCS #11, KMS, TPM, Key ceremony