הקדמה

הצורך באבטחת המידע שנמצא על גבי התשתיות בארגון רק הולך וגדל עם השנים וביותר ויותר פרוייקטים בכמה שנים האחרונות קיימת תלות כמעט בלתי ניתנת לפשרה על קיומה או הקמה ייעודית של סביבת PKI (Public Key Infrastructure) בתוך הארגון. מטרות סביבת ה PKI יכולות להיות שונות ומגוונות, החל מהצורך בביצוע כניסה לרשת באמצעות כרטיס חכם, הנפקת תעודות למחשבים או לציוד התקשורת בארגון, אבטחה באמצעות SSL של תעבורת שרת Web ועוד. כמות היישומים לסביבת PKI היא עצומה. בארגונים רבים בהם יש צורך ברמת הגנה מיוחדת עבור תשתית ה PKI והתעודות שאותן היא מנפיקה עולה הצורך, בין אם מתוך בחירה ובין אם כחובה רגולטורית, לקיומו של רכיב HSM.

מהו HSM?

HSM (Hardware Security Module) הוא רכיב קריפטוגרפי ייעודי המשמש לשמירה על מפתחות הצפנה בסביבה מאובטחת, בהתקן נפרד. לשרות זה יש מעבד קריפטוגרפי שנועד לניהול מפתחות ובפרט, שמירה על מפתחות פרטיים רגישים, שנועדו לחתום על תעודות דיגיטליות או מידע אחר בצורה מאובטחת ביותר. תארו לכם כספת חכמה שהגישה אליה מאוד שמורה ומוגבלת, בדרך כלל חסינה לפריצה ואש, אשר מחוללת בתוכה מפתחות קריפטוגרפים ומידע רגיש. המטרה העיקרית של הרכיב היא לבודד את המפתחות לסביבה בטוחה. ה HSM תמיד מתממשק עם יישום על אותו שרת או ברשת. ברוב המקרים ה CA, שרת התעודות הדיגיטליות, "מתקשר" עם המפתחות המאוחסנים ב HSM, בדרך כלל דרך קליינט. בכל מקרה, המפתחות לא עוזבים את ה HSM לעולם.

רכיבי HSM מספקים:

•  הגנה על המפתחות מפני גישה, גניבה ושימוש עוין באמצעות הגנה חזקה ברמת חומרה על המידע
• ניהול אורך החיים באופן מאובטח של מפתח ההצפנה (גישה, ייצוא, השמדה, גיבוי, החלפה)
• האצת פעולות קריפטוגרפיות: הצפנה, פענוח, חתימה, יצירת חותם זמן, Hashing.

מאפיינים עיקריים

• מגן על מידע רגיש ומוצפן בעזרת חומרה מוקשחת
• מגן על אפליקציות רגישות בסביבה עוינת
• מאיץ ביצוע פעולות קריפטוגרפיות: הצפנה, פיענוח, חתימות, חותמות זמן וכו')
• רכיבי HSM מתאפיינים בעמידה בתקן Fips-140 ברמה 2 ורמה 3 המגדיר את אופן השמירה על המידע והפעולה הנדרשת במקרה של חדירה (למשל- מחיקת המפתחות)
• HSM מגיע במגוון צורות (כרטיסי PCI, SA- Network Attached Appliance)

היכן משתמשים ב HSM?

רכיבי ה HSM תמיד ישולבו כחלק מאפליקציה ברשת או בחיבור ישיר לשרת והם מהווים כלי חיוני לחברות המתעסקות ב:

• סביבת PKI. רכיב HSM הוא הבסיס לבניית תשתית PKI עפ"י תקן
• בנקים, ATM, חברות אשראי וכל גוף המבצע העברת כספים אלקטרונית
• כחלק מאפליקציה בהתאמה אישית להגנה על מידע רגיש (מספר כרטיס אשראי, ת.ז, מידע רפואי ועוד)

מה לחפש בהתקן HSM?

• עומד בתקנים מחמירים כגון: FIPS( Federal Information Processing Standard), CC (Common Criteria)
• גמיש בשימוש ובאינטגרציה למערכות קיימות
• מפתחות ההצפנה תמיד נשמרים בחומרה
• יכולות ניהול טובות
• שרידות וזמינות
• שרות טוב וספק טוב

לסיכום

תשתיות PKI הן חלק בלתי נפרד ממערכות המידע בארגון, בדיוק כמו שרתי הדואר והקבצים, והדרישה לרכיבי ה HSM כמוצר למשלים לתשתית ה PKI עולה יותר ויותר למודעות הכלל. אם תהיתם במה מדובר, כולי תקווה שהצלחנו להעביר את המסר בצורה פשוטה וברור.