Molnbaserade kontra lokala HSM:er

Beskrivning

Antagandet av Public Key Infrastructure (PKI) har ökat stadigt i företag inom olika branscher och har beskrivits i tidigare artiklar. PKI-mekanismer som certifikatbaserad autentisering, krypterad kommunikation, certifikathantering, kodsigneringoch andra samverkar för att säkerställa ett säkert företag. Alla säkerhetsfördelar som PKI erbjuder kan dock bli om intet om de privata nycklarna som används för olika ändamål äventyras. Därför är den kritiska framgångsfaktorn (och den största sårbarheten) i PKI och alla kryptografi systemet är säker förvaring och hantering av privata nycklar. Det är här en Hårdvarusäkerhetsmodul (HSM) kommer in

HSM-översikt

En HSM är en specialiserad, dedikerad, fysisk kryptografisk enhet eller 'apparat' som är utformad och byggd för nyckellivscykelhantering – generering, lagring, hantering och utbyte av kryptografiska nycklar. HSM:er används också för att avlasta kryptografisk funktionalitet från applikationsservrar – exempel är autentisering, kryptering, dekrypteringoch digital signering.

HSM:er erbjuder certifierade mekanismer för fysisk och logisk säkerhet, manipuleringsskydd, intrångsskydd och detektering, händelseloggning och säkra API:er för åtkomst till HSM. HSM:er möjliggör separering av kryptografiska uppgifter från applikationsaffärslogik, med oöverträffad prestanda för alla kryptografiska funktioner. Till exempel, medan programvara som körs på den bästa hårdvaran kan uppnå några tusen digitala signaturer per sekund, kan en HSM uppnå miljontals.

Traditionellt upprättades HSM:er "on-premise" eller i företagets datacenter. Utbredningen av molntjänster, särskilt under de senaste åren, har lett till framväxten av "molnbaserade HSM:er" eller "HSM som en tjänst". Oavsett typ, oavsett om det är on-premise eller molnbaserat, måste företag ha några av följande funktioner i åtanke när de väljer en HSM.

Säkerhet:

Alla HSM måste certifieras enligt internationella säkerhetsstandarder som Common Criteria och FIPS (Federala standarder för informationsbehandling))Certifiering ger en försäkran om att enhetens design och konstruktion uppfyller vissa grundläggande kriterier. Certifiering är visserligen nödvändig men inte tillräcklig, och andra kriterier måste beaktas vid val av HSM.

Användargränssnitt (UI):

Användargränssnittet för HSM-administration är ofta kommandoradsbaserat. Vissa leverantörer kan ha en centraliserad hanteringsportal med ett grafiskt användargränssnitt (GUI) och en instrumentpanel, vilket kan underlätta vissa administrationsuppgifter.

algoritmer:

Varje HSM bör tillhandahålla ett antal kryptografiska algoritmer (både symmetriska och asymmetriska) som kan användas för flera funktioner såsom autentisering, kryptering, dekryptering, signering, tidsstämpling med mera. En relaterad faktor kan vara framtida beredskap, såsom stöd för nya tekniker som kvantkryptografi.

Automation:

När HSM väl är driftsatt tar löpande underhålls- och administrationsuppgifter upp det mesta av administrationsarbetet. Eventuella automatiseringsfunktioner som tillhandahålls av HSM-leverantören kan vara en fördel för att minska löpande administrationsarbete och kostnader.

Tidigare artiklar om PKI finns tillgängliga i PKI-blogg.

Nyckelbackup:

Säkerhetskopiering av nycklar måste göras till en miljö som har liknande säkerhetsnivåer som HSM. Fjärrstyrd säkerhetskopieringshantering och nyckelreplikering är ytterligare faktorer att beakta.

Integration:

HSM är inte en fristående enhet och behöver fungera tillsammans med andra applikationer. En viktig funktion att utvärdera är därför integrationsmöjligheterna. Eftersom HSM kommer att behöva stödja flera applikationer kan färdiga och beprövade integrationsgränssnitt med flera applikationer vara en betydande fördel med tiden.

Total Cost of Ownership (TCO):

Lokala HSM:er kommer att ha en högre initial investering eller kapitalutgift (Capex) och eventuellt lägre årliga kostnader. Molnbaserade HSM:er kommer att ha mycket lägre eller ingen Capex, men kan ha högre årliga kostnader eller driftskostnader (Opex). Beslutsfaktorn är därför vanligtvis den totala ägandekostnaden (TCO) över en tidsperiod, säg fem år. Kostnadsfaktorerna för att beräkna TCO inkluderar hårdvara, nödvändiga verktyg, nätverks- och säkerhetsinfrastruktur, datacenter, driftsmodell, betalningsmodell, programvarulicenser, support, servicenivåer, utbildning, efterlevnad och personalkostnader.

Generering av slumptal:

Det är viktigt att HSM-leverantören använder en godkänd eller certifierad process för slumptalsgenerering, eftersom detta kan vara en kritisk faktor ur ett regel- och efterlevnadsperspektiv.

När de grundläggande funktionerna har utvärderats är nästa steg att bestämma om man ska investera i en lokal eller molnbaserad HSM. Några av de scenarier som kan hjälpa företag att fatta detta beslut anges nedan.

Lokal HSM

HSM:er uppstod för årtionden sedan som fysiska enheter som byggdes från grunden, särskilt för kryptografiska operationer och distribuerades lokalt. Hårdvaran, firmware, operativsystemet, nätverksåtkomsten och den övergripande funktionaliteten hos en HSM utformades alla för att säkerställa att enheterna var manipulationssäkra och intrångssäkra.

En lokal HSM är ett bra alternativ för företag med ett eller flera av följande scenarier:

• Stora organisationer som kräver fullständig och isolerad kontroll över sina nyckelhantering mekanismer, och som har ett tydligt affärsargument för de höga investeringar som behövs i en lokal HSM.
• Applikationer som kräver mycket låg latens, där det kan göra stor skillnad att ha en HSM i samma datacenter som applikationen.
• Applikationer med intensiva kryptografiska operationer och behov av hög prestanda, där avlastning av kryptografiska funktioner från en applikationsserver till en lokal HSM kan resultera i en betydande prestandaförbättring för applikationen.
• Organisationer som verkar i länder med strikta krav på datalokalisering, och där molnleverantörer kanske inte har ett lokalt datacenter på den geografiska platsen.
• Organisationer med förutsägbara arbetsbelastningar, där det är osannolikt att affärskraven och transaktionsvolymerna kommer att överstiga HSM:s kapacitet inom en snar framtid.

Molnbaserad HSM

En färsk forskningsrapport från Flexera visar att cirka 94 % av organisationer idag använder någon form av molntjänster. I takt med att arbetsbelastningar av alla slag flyttas till molnet är HSM:er inget undantag. Enkelheten, flexibiliteten och smidigheten som erbjuds av molnbaserade HSM:er gör dem till ett attraktivt värdeerbjudande, särskilt när företag står inför ett eller flera av följande scenarier:

• Små och medelstora organisationer som redan använder många molntjänster och de höga investeringarna för lokala HSM:er kanske inte är genomförbara.
• Organisationer som vill testa eller pilotera flera HSM-tjänster med minimala initiala investeringar innan de binder sig till en leverantör.
• Organisationer där arbetsbelastningarna är lägre och kraven på applikationsprestanda och latens kanske inte kräver en dedikerad, lokal HSM.
• Organisationer med mycket varierande arbetsbelastningar, vilket kan kräva elasticitet, dvs. uppskalning och nedskalning av HSM-infrastrukturen.
• Organisationer som föredrar en förutsägbar, driftsutgiftsbaserad (Opex) finansiell modell som erbjuds av molnet snarare än höga initiala kapitalinvesteringar som krävs av en lokal HSM.

Det finns två typer av molnbaserade HSM:er: publika molnbaserade och tredjepartsbaserade. Båda typerna erbjuder HSM-as-a-Service-modellen. Beroende på leverantör kan båda typerna även erbjuda lösningar för både enskilda hyresgäster och flera hyresgäster, samt ytterligare nyckelhanteringstjänster utöver HSM:erna. Den största skillnaden mellan de två molnbaserade HSM:erna är leverantörslåsning.

Publika molnbaserade HSM:er är vanligtvis knutna till den publika molnleverantören, såsom AWS eller Azure, och är därför lämpliga för företag som bara använder en publik molnleverantör. Tredjeparts molnbaserade HSM:er fungerar vanligtvis över flera publika molnleverantörer och är därför ett bra val för företag som har scenarier med flera moln.

Tredjeparts molnbaserade HSM:er, som är specialiserade erbjudanden, kan också ha mer sofistikerade funktioner som automatisering, skalning, säkerhetskopiering och bättre administration. I allmänhet är valet av en molnbaserad HSM nära kopplat till företagets molnstrategi.

Key Takeaways

Frågan ”Vilket är ett bättre alternativ: en lokal HSM eller en molnbaserad HSM?” har inget entydigt svar. Företag måste välja det bästa alternativet beroende på deras användningsfall och affärsscenarier. En sak är dock tydlig: fördelarna med Public Key Infrastructure (PKI) kan helt undergrävas om privata nycklar äventyras. Att skydda och hantera dessa nycklar är därför ett avgörande krav för att säkerställa företagssäkerhet. HSM:er, oavsett om de är lokala eller molnbaserade, är de bästa alternativen idag för att uppfylla det kravet.

En färsk forskningsrapport om molntrender från Flexera visar att mer än 80 % av organisationerna går över till multimolnmiljöer..