硬件安全模块- HSM
目录
一、什么是硬件安全模块
二、HSM是如何工作的
三、HSM的应用
公钥基础设施(Public Key Infrastructure - PKI)
卡支付系统(Card Payment HSM)
安全套接字协议(Secure Sockets Layer - SSL)
车载电子控制单元(Electronic Control Unit - ECU)
一、什么是硬件安全模块
硬件安全模块 - Hardware security module (HSM) , 通常我们将其解释为一种可用于对密钥进行安全管理/存储,且可提供密码计算操作的硬件设备,该模块一般通过扩展或外部设备的形式连接到主设备。HSM是一个可防篡改和入侵的硬件,用来保护存储密钥,同时允许授权用户使用,系统中充当信任锚(Trust anchor)的角色。
HSM通常作为公共基础设施(Public Key Infrastructure - PKI)或网上银行等关键基础设施的一部分,一般多个HSM 同时使用。现在随着车载ECU数量的不断增加、软件日益复杂及对车载网络安全的重视,HSM同样用于汽车零部件的开发以保障其对于通信实时性和降低性能开销。
二、HSM是如何工作的
HSM拥有以安全为中心的操作系统,有受保护的内存,程序代码,数据闪存区,加速器及真随机数生成器(TRNG)。具备受限制的访问权限,并实现了用于操作系统操作和管理的角色分离机制。在其运行时实现系统安全、认证启动或主机监测,主机无法随意访问其密钥。 HSM的功能通常包括以下几点:
- 密钥的存储及管理
- 生成真随机数、对称及非对称密钥等
- 密码计算加速
- 生成签名及签名认证
- 针对多用户权限的完整认证和日志跟踪
保护密钥对于维护安全系统至关重要,HSM对于密钥生命周期管理主要有六个步骤:
- 创建:密钥由HSM或第三方进行创建。
- 备份和存储:制作密钥副本并安全存储,防止丢失泄露。副本可以存储在HSM或其外部,存储私钥必须进行加密。
- 部署:将密钥安置在加密设备中。
- 管理:根据相应标准进行控制监视等。密钥可轮换,在现有密钥过期时,可部署新的密钥。
- 归档:将过期密钥进行存储,以便后期使用
- 处理:密钥可在确定不适用的情况下,进行永久销毁。
三、HSM的应用
公钥基础设施(Public Key Infrastructure - PKI)
在PKI场景中,证书机构(Certification Authority - CA)可以使用HSM 生成,存储和处理非对称密钥。在CA HSM 中,设备必须具备的基本功能为:
- 逻辑和物理高级保护
- 多部分用户授权方案
- 完整的审核和日志跟踪
- 安全密钥备份
卡支付系统(Card Payment HSM)
卡支付系统HSM 属于交易和支付专用HSM,支持处理交易和遵守行业标准所需的通用功能,比CA HSM更轻量,不具备标准API 。设备必须具备的功能为:
- 验证用户输入的PIN 及发卡机构PIN匹配(PIN matching)
- 通过校验安全码或设备终端(ATM/POS)共同执行基于EMV的主机处理组件验证卡交易
- 支持crypto-API
- 重新加密PIN,发送至授权主机
- 安全密钥管理
- 支持设备终端(ATM\POS)网络管理协议
- 支持设备间密钥或数据交换API
- 生成及打印新的PIN密码卡
- 生成磁条卡(PVV\CVV)数据
- 生成卡密钥集,支持智能卡的个性化过程
安全套接字协议(Secure Sockets Layer - SSL)
需要使用HTTPS(SSL/TLS)的性能敏感应用(对性能有严格要求的应用程序),通过使用带SSL 加速功能的HSM ,将RSA操作从主机移到HSM中,从而提升效率。HSM每秒可执行1-10000个1024RSA计算,现由于密钥长度不断增加导致速度下降,HSM开始支持椭圆曲线密码(Elliptic curve cryptography - ECC),专用HSM设备可达到每秒20000次操作。
车载电子控制单元(Electronic Control Unit - ECU)
EVITA(E-safety Vehicle Intrustion Protected Applications )项目定义了可用于汽车网络信息安全领域的HSM相关规范,针对不同的硬件能力将其分为Full、Medium和Light HSM 。该规范基于SHE(Secure Hardware Extension),当前很多针对汽车行业的微处理器支持这个规范。
从上图中我们可以简单总结EVITA HSM 配置为:
- Full: 支持增强验证(如通过RSA/ECC等)
支持复杂的分组密码/块密码
高性能
- Medium: E2E通信安全
- Small: 关键传感器/执行器安全
简单的分组密码/块密码
低成本模块
EVITA建议HSM集成在ECU 微控制芯片上,充当安全平台角色,一般由两个部分组成
- 逻辑部分(ROM/RAM/运算单元)
- 密码部分(硬件加速器)
在车载ECU HSM中,当前比较典型和广泛应用的例子就是英飞凌AURIX芯片,该系列芯片集成了HSM ,将在另一篇文章中详细描述。
除硬件部分,HSM还应有相应固件及驱动,在汽车电子中广泛用到的AUTOSAR也提供了接口。
上图展示了与安全相关的架构,从其中我们可以看出,CSM是其分层设计的起点,是第一接口,CSM 通过Hardware Abstraction中 Crypto Interface(CRYIF)访问Crypto Drivers,整个过程为Crypto Stack。通过框架的最底层,进行相关部件(如HSM)的访问,实现加解密操作。
硬件安全模块- HSM相关推荐
- Entrust Datacard将从泰雷兹手中收购市场领先的通用硬件安全模块业务
明尼波利斯和佛罗里达州森赖斯--(美国商业资讯)--领先的可信身份和安全发布技术解决方案提供商Entrust Datacard今日宣布,该公司已签署一份最终协议,收购泰雷兹(Thales)市场领先的通 ...
- BeQuick软件公司引入SafeNet公司的硬件安全模块(HSM)
SafeNet公司是全球信息安全方面的专家.托管应用程序服务提供商BeQuick软件公司选择SafeNet公司为其提供计费服务系统和运营支持系统(BSS/OSS)基础设施的信息安全保障. 根据公布的消 ...
- 硬件安全模块如何启用AUTOSAR
硬件安全模块如何启用AUTOSAR How hardware security modules enable AUTOSAR 越来越复杂的软件和车内连接需要越来越多的加密保护.这种保护也必须由经典的实 ...
- 2022-2028中国硬件安全模块市场现状研究分析与发展前景预测报告
[报告篇幅]:104 [报告图表数]:134 [报告出版时间]:2021年12月 报告摘要 本文研究中国市场硬件安全模块现状及未来发展趋势,侧重分析在中国市场扮演重要角色的企业,重点呈现这些企业在中国 ...
- android系统tee接口,Android操作系统上的TEE / HSM支持
受信任的执行环境(TEE):这是一个基于软件的构造,该构造在运行时上下文的常规范围内实现.它可以使用纯软件,也可以使用CPU和特定的操作码(即Intel SGX或ARM等效产品)以提供"硬件 ...
- Entrust Datacard完成对泰雷兹旗下市场领先的通用硬件安全公司nCipher Security的收购
这项收购让Entrust Datacard的产品组合扩大至包括通用硬件安全模块产品,可提供增强的云.数据安全.合规和支付能力 明尼阿波利斯--(美国商业资讯)--领先的可信身份和安全发行技术解决方案提 ...
- MPC+HSM造就了安全的数字托管人
今天的机构投资者明智地将他们的数字资产交给受信任的第三方托管--但您能否通过将资产分散到多个托管人手中来进一步降低风险? HSM 与 MPC--用于实时机构加密资产托管,我们还添加了第三种解决方案-- ...
- 汽车网络安全:TEE是否能够取代HSM?
随着越来越多的设备接入网络,对关键资产的安全性防护需求也在增加.以往,这些都由硬件安全模块 (HSM)提供,但在过去十年中,可信执行环境(TEE)的使用显着增长.本文旨在让读者了解这两种解决方案之间的 ...
- 公有云上唯一一个FIPS-level4级别的HSM是如何实现的
Hyper Protect Crypto Services (HPCS)扫盲篇 Hyper Protect Crypto Services (HPCS)扫盲篇 什么是HPCS 什么是HSM 主秘钥(M ...
- 2022 极术通讯-汽车网络安全:TEE是否能够取代HSM?
导读:极术通讯引入行业媒体和技术社区.咨询机构优质内容,定期分享产业技术趋势与市场应用热点 芯方向 • Arm64 CentOS系统下MySQL使用jemalloc时的问题和解决方法 Jemalloc ...
最新文章
- 程序员趣味读物:谈谈Unicode编码
- 算法解读--递归(二)
- 视觉里程计 | 关于Stereo DSO中的高斯牛顿的一点注释
- 《TCP/IP详解 卷1:协议》第4章 ARP:地址解析协议
- IOS开发报错之Undefined symbols for architecture armv6
- Apache Camel中的短重试与长重试
- CEF新版发布 添加多项激动人心的新特性
- 如何使用Bitwarden在Active Directory上进行密码保护
- matlab mex gcc 支持c99
- 设计每个网站时所追求的5个目标
- 计算机毕业设计中用js+html+java实现文件预览
- 设计模式-Builder Pattern
- vector获取缓冲区指针
- C++ 从函数参数中获取指针 指针传递
- sklearn 线性回归算法+boston房价数据集
- 计算机考试盘安装空间,2021上半年计算机水平考试模拟盘 安装
- bandicam——轻松录屏
- 机器学习-对线性回归、逻辑回归、各种回归的概念学习
- 进程间通信(无名管道)
- html单元格浮雕效果,怎样用PS做出这种凹面浮雕效果?