Cloudbasierte vs. lokale HSMs

Einführung

Die Annahme von Public-Key-Infrastruktur (PKI) hat in Unternehmen aller Branchen stetig zugenommen und wurde bereits in früheren Artikeln beschrieben. PKI-Mechanismen wie zertifikatsbasierte Authentifizierung, verschlüsselte Kommunikation, Zertifikatsverwaltung, CodesignaturDiese und weitere Sicherheitsmaßnahmen tragen gemeinsam zu einem sicheren Unternehmen bei. Allerdings können alle Sicherheitsvorteile der PKI zunichtegemacht werden, wenn die für verschiedene Zwecke verwendeten privaten Schlüssel kompromittiert werden. Daher ist der kritische Erfolgsfaktor (und die größte Schwachstelle) der PKI und jeder anderen Sicherheitsarchitektur die Sicherheit. Geheimschrift System ist die sichere Speicherung und Verwaltung von privaten Schlüsseln. Hier Hardware-Sicherheitsmodul (HSM) kommt in.

HSM-Übersicht

Ein HSM (Heat Storage Module) ist ein spezialisiertes, dediziertes, physisches kryptografisches Gerät oder „Appliance“, das für das Schlüssellebenszyklusmanagement – ​​die Generierung, Speicherung, Verwaltung und den Austausch kryptografischer Schlüssel – entwickelt und gebaut wurde. HSMs werden auch zur Auslagerung kryptografischer Funktionen von Anwendungsservern verwendet – beispielsweise zur Authentifizierung. Verschlüsselung, Entschlüsselungund digitale Signatur.

HSMs bieten zertifizierte Mechanismen für physische und logische Sicherheit, Manipulationsschutz, Intrusion Prevention und -Erkennung, Ereignisprotokollierung und sichere APIs für den Zugriff auf das HSM. HSMs ermöglichen die Trennung kryptografischer Aufgaben von der Geschäftslogik der Anwendung und bieten eine beispiellose Leistung für alle kryptografischen Funktionen. Während beispielsweise Software auf der besten Hardware einige tausend digitale Signaturen pro Sekunde erreichen kann, kann ein HSM Millionen erreichen.

Traditionell wurden HSMs lokal, also im Rechenzentrum des Unternehmens, installiert. Die zunehmende Verbreitung von Cloud Computing, insbesondere in den letzten Jahren, hat zur Entstehung von „Cloud-basierten HSMs“ oder „HSM as a Service“ geführt. Unabhängig vom Typ – ob lokal oder Cloud-basiert – sollten Unternehmen bei der Auswahl eines HSMs einige der folgenden Merkmale berücksichtigen.

Sicherheit:

Jedes HSM muss nach internationalen Sicherheitsstandards wie Common Criteria zertifiziert sein und FIPS (Federal Information Processing Standards)Die Zertifizierung gewährleistet, dass Design und Konstruktion des Geräts bestimmte grundlegende Kriterien erfüllen. Sie ist zwar notwendig, aber nicht ausreichend; bei der Auswahl eines HSM müssen weitere Kriterien berücksichtigt werden.

Benutzeroberfläche (UI):

Die Benutzeroberfläche für die HSM-Verwaltung ist häufig befehlszeilenbasiert. Einige Anbieter verfügen möglicherweise über ein zentrales Verwaltungsportal mit grafischer Benutzeroberfläche (GUI) und Dashboard, das einige Verwaltungsaufgaben erleichtern kann.

Algorithmen:

Jedes HSM sollte eine Reihe kryptografischer Algorithmen (sowohl symmetrische als auch asymmetrische) bereitstellen, die für verschiedene Funktionen wie Authentifizierung, Verschlüsselung, Entschlüsselung, Signierung, Zeitstempelung usw. verwendet werden können. Ein weiterer wichtiger Faktor ist die Zukunftsfähigkeit, beispielsweise die Unterstützung neuer Technologien wie der Quantenkryptografie.

Automation:

Sobald das HSM bereitgestellt ist, nehmen laufende Wartungs- und Verwaltungsaufgaben den größten Teil der Verwaltungsarbeit in Anspruch. Alle vom HSM-Anbieter bereitgestellten Automatisierungsfunktionen können von Vorteil sein, um den laufenden Verwaltungsaufwand und die Kosten zu reduzieren.

Frühere Artikel zu PKI finden Sie im PKI-Blog.

Schlüsselsicherung:

Die Sicherung der Schlüssel muss in einer Umgebung erfolgen, die ähnliche Sicherheitsstufen wie das HSM bietet. Remote-Backup-Management und Schlüsselreplikation sind weitere zu berücksichtigende Faktoren.

Integration:

Das HSM ist keine eigenständige Einheit und muss mit anderen Anwendungen zusammenarbeiten. Daher ist die Integrationsfähigkeit ein wichtiges Bewertungskriterium. Da das HSM zukünftig mehrere Anwendungen unterstützen muss, sind sofort einsatzbereite und bewährte Integrationsschnittstellen für verschiedene Anwendungen ein entscheidender Vorteil.

Gesamtbetriebskosten (TCO):

On-Premise-HSMs erfordern höhere Anfangsinvestitionen (Capex) und möglicherweise niedrigere jährliche Kosten. Cloud-HSMs hingegen haben deutlich geringere oder gar keine Capex-Anforderungen, können aber höhere jährliche Betriebskosten (Opex) verursachen. Der entscheidende Faktor ist daher typischerweise die Gesamtbetriebskosten (TCO) über einen bestimmten Zeitraum, beispielsweise fünf Jahre. Zu den Kostenfaktoren für die Berechnung der TCO zählen Hardware, benötigte Tools, Netzwerk- und Sicherheitsinfrastruktur, Rechenzentrum, Betriebsmodell, Zahlungsmodell, Softwarelizenzen, Support, Service-Levels, Schulungen, Compliance und Personalkosten.

Zufallszahlengenerierung:

Es ist wichtig, dass der HSM-Anbieter ein genehmigtes oder zertifiziertes Verfahren zur Zufallszahlengenerierung verwendet, da dies aus regulatorischer und Compliance-Sicht ein kritischer Faktor sein könnte.

Nach der Bewertung der grundlegenden Funktionen gilt es zu entscheiden, ob in ein lokales oder ein Cloud-basiertes HSM investiert werden soll. Einige Szenarien, die Unternehmen bei dieser Entscheidung helfen können, werden im Folgenden aufgeführt.

Vor-Ort-HSM

HSMs entstanden vor Jahrzehnten als physische Geräte, die speziell für kryptografische Operationen entwickelt und lokal eingesetzt wurden. Hardware, Firmware, Betriebssystem, Netzwerkzugriff und die Gesamtfunktionalität eines HSM wurden so konzipiert, dass die Geräte manipulations- und einbruchsicher sind.

Ein lokales HSM ist eine gute Option für Unternehmen mit einem oder mehreren der folgenden Szenarien:

• Große Organisationen, die eine vollständige und isolierte Kontrolle über ihre Schlüsselverwaltung Mechanismen, die einen klaren Business Case für die hohen Investitionen in ein On-Premise-HSM bieten.
• Bei Anwendungen, die eine sehr geringe Latenz erfordern, kann der Einsatz eines HSM im selben Rechenzentrum wie die Anwendung einen großen Unterschied machen.
• Anwendungen mit intensiven kryptografischen Vorgängen und einem Bedarf an hoher Leistung, bei denen die Auslagerung der kryptografischen Funktionen von einem Anwendungsserver auf ein lokales HSM zu einer erheblichen Leistungsverbesserung für die Anwendung führen kann.
• Organisationen, die in Ländern mit strengen Anforderungen an die Datenlokalisierung tätig sind und in denen Cloud-Anbieter möglicherweise kein lokales Rechenzentrum am jeweiligen geografischen Standort haben.
• Organisationen mit vorhersehbarer Arbeitslast, bei denen es unwahrscheinlich ist, dass die Geschäftsanforderungen und Transaktionsvolumina die Kapazität des HSM in naher Zukunft überschreiten werden.

Cloudbasiertes HSM

Ein aktueller Forschungsbericht von Flexera zeigt, dass heute rund 94 % der Unternehmen Cloud-Dienste in irgendeiner Form nutzen. Da Workloads aller Art in die Cloud verlagert werden, bilden HSMs keine Ausnahme. Die Einfachheit, Flexibilität und Agilität cloudbasierter HSMs machen sie zu einer attraktiven Lösung, insbesondere wenn Unternehmen mit einem oder mehreren der folgenden Szenarien konfrontiert sind:

• Für kleine und mittlere Unternehmen, die bereits viele Cloud-Dienste nutzen, sind die hohen Investitionen in lokale HSMs möglicherweise nicht realisierbar.
• Organisationen, die mehrere HSM-Dienste mit minimalen Vorabinvestitionen testen oder pilotieren möchten, bevor sie sich für einen Anbieter entscheiden.
• Organisationen mit geringerer Arbeitsbelastung und geringeren Anforderungen an die Anwendungsleistung und Latenz benötigen möglicherweise kein dediziertes HSM vor Ort.
• Organisationen mit stark schwankenden Arbeitslasten, die möglicherweise Elastizität benötigen, d. h. die HSM-Infrastruktur nach oben und unten skalieren müssen.
• Organisationen, die ein auf Betriebskosten (Opex) basierendes Finanzmodell bevorzugen, wie es die Cloud bietet, anstatt der hohen Vorabinvestitionen, die bei einem On-Premise-HSM erforderlich sind.

Es gibt zwei Arten von Cloud-basierten HSMs: öffentliche Cloud-Lösungen und Drittanbieterlösungen. Beide bieten das HSM-as-a-Service-Modell an. Je nach Anbieter können beide Arten auch Single-Tenant- oder Multi-Tenant-Lösungen sowie zusätzliche Schlüsselverwaltungsdienste neben den HSMs anbieten. Der Hauptunterschied zwischen den beiden Cloud-basierten HSMs liegt in der Anbieterbindung.

Öffentliche Cloud-basierte HSMs sind typischerweise an den jeweiligen Public-Cloud-Anbieter (z. B. AWS oder Azure) gebunden und eignen sich daher für Unternehmen, die nur einen Public-Cloud-Anbieter nutzen. Cloud-basierte HSMs von Drittanbietern funktionieren in der Regel mit mehreren Public-Cloud-Anbietern und sind daher eine gute Wahl für Unternehmen mit Multi-Cloud-Umgebungen.

Cloudbasierte HSMs von Drittanbietern sind spezialisierte Angebote und bieten daher oft erweiterte Funktionen wie Automatisierung, Skalierung, Datensicherung und verbesserte Administration. Die Wahl eines cloudbasierten HSM hängt in der Regel eng mit der Cloud-Strategie des Unternehmens zusammen.

Wichtige Erkenntnisse

Die Frage „Was ist die bessere Option: eine On-Premise- HSM Die Frage „Welches ist das richtige HSM?“ lässt sich nicht pauschal beantworten. Unternehmen müssen die beste Option je nach Anwendungsfall und Geschäftsszenario wählen. Eines bleibt jedoch klar: Die Vorteile einer Public-Key-Infrastruktur (PKI) können vollständig zunichtegemacht werden, wenn private Schlüssel kompromittiert werden. Der Schutz und die Verwaltung dieser Schlüssel sind daher unerlässlich für die Unternehmenssicherheit. HSMs, ob lokal oder cloudbasiert, sind derzeit die beste Lösung, um diese Anforderung zu erfüllen.

Ein aktueller Forschungsbericht zu Cloud-Trends von Flexera zeigt, dass mehr als 80 % der Unternehmen auf Multi-Cloud-Umgebungen umsteigen..