وحدة أمان الأجهزة

من أرابيكا، الموسوعة الحرة
اذهب إلى التنقل اذهب إلى البحث

وحدة أمان الأجهزة (بلانجليزية:Hardware security module) (HSM) هي جهاز حاسوب مادي يحمي المفاتيح الرقمية ويديرها ويؤدي وظائف التشفير وفك التشفير للتوقيعات الرقمية والمصادقة القوية ووظائف التشفير الأخرى. تأتي هذه الوحدات عادةً في شكل بطاقة إضافية أو جهاز خارجي يتم توصيله مباشرة بجهاز كمبيوتر أو خادم شبكة. تحتوي وحدة أمان الأجهزة على شريحة معالج تشفير آمنة واحدة أو أكثر.[1][2][3]

تصميم

قد تحتوي وحدة أمان الأجهزة على ميزات توفر أدلة العبث مثل العلامات المرئية للعبث أو التسجيل والتنبيه، أو مقاومة العبث التي تجعل العبث صعبًا دون جعل HSM غير قابل للتشغيل، أو استجابة العبث مثل حذف المفاتيح عند اكتشاف العبث.  تحتوي كل وحدة على شريحة معالجة مشفرة آمنة واحدة أو أكثر لمنع العبث وسبر الناقل، أو مجموعة من الرقائق في وحدة محمية بواسطة العبوة الواضحة للعبث، أو مقاومة العبث، أو العبث المتجاوب.[4]

تم تصميم الغالبية العظمى من وحدات أمان الأجهزة الموجودة بشكل أساسي لإدارة المفاتيح السرية. تمتلك العديد من أنظمة وحدة أمان الأجهزة وسيلة لإجراء نسخ احتياطي آمن للمفاتيح التي تتعامل معها خارج الوحدة. قد يتم نسخ المفاتيح احتياطيًا في شكل ملفوف وتخزينها على قرص كمبيوتر أو وسائط أخرى، أو خارجيًا باستخدام جهاز محمول آمن مثل البطاقة الذكية أو بعض رموز الأمان الأخرى.[5]

تُستخدم وحدة أمان الأجهزة من أجل التفويض في الوقت الفعلي والمصادقة في البنية التحتية الحيوية، وبالتالي يتم تصميمها عادةً لدعم النماذج القياسية عالية التوافر بما في ذلك التجميع، وتجاوز الفشل التلقائي، والمكونات الفائضة التي يمكن استبدالها بالمجال.[6]

عدد قليل من HSMs المتوفرة في السوق لديها القدرة على تنفيذ وحدات مطورة خصيصًا داخل حاوية وحدة أمان الأجهزة الآمنة. هذه القدرة مفيدة، على سبيل المثال، في الحالات التي يجب فيها تنفيذ خوارزميات خاصة أو منطق الأعمال في بيئة آمنة وخاضعة للرقابة. يمكن تطوير الوحدات بلغة (سي C الأصلية)أو.NET أو Java أو لغات برمجة أخرى. علاوة على ذلك، يمكن أن يتعامل الجيل القادم من وحدة أمان الأجهزة مع مهام أكثر تعقيدًا مثل تحميل وتشغيل أنظمة تشغيل كاملة و COTSالبرنامج دون الحاجة إلى التخصيص وإعادة البرمجة. تتغلب مثل هذه التصميمات غير التقليدية على قيود التصميم والأداء الموجودة في أنظمة وحدة أمان الأجهزة التقليدية. أثناء توفير ميزة تأمين التعليمات البرمجية الخاصة بالتطبيق، تعمل محركات التنفيذ هذه على حماية حالة FIPS الخاصة بـ HSM أو التحقق من صحة المعايير العامة [7]

الأمن

نظرًا للدور الحاسم الذي تلعبه في تأمين التطبيقات والبنية التحتية، يتم اعتماد وحدة أمان الأجهزة و / أو وحدات التشفير عادةً وفقًا للمعايير المعترف بها دوليًا مثل المعايير المشتركة أو FIPS 140 لتزويد المستخدمين بضمان مستقل بأن تصميم وتنفيذ المنتج وتشفير الخوارزميات سليمة. أعلى مستوى يمكن الحصول عليه من شهادة الأمان FIPS 140 هو مستوى الأمان 4 (بشكل عام). عند استخدامه في تطبيقات المدفوعات المالية، غالبًا ما يتم التحقق من صحة أمان وحدة أمان الأجهزة وفقًا لمتطلبات الوحدة المحددة من قبل مجلس معايير أمان صناعة بطاقات الدفع.[8]

الاستخدامات

يمكن استخدام وحدة أمان الأجهزة في أي تطبيق يستخدم المفاتيح الرقمية. عادةً ما تكون المفاتيح ذات قيمة عالية - مما يعني أنه سيكون هناك تأثير سلبي كبير على مالك المفتاح إذا تم اختراقه.

وظائف وحدة أمان الأجهزة هي:

  • إنشاء مفتاح تشفير آمن على متن الطائرة
  • تخزين مفتاح التشفير الآمن على متن الطائرة، على الأقل للمفاتيح ذات المستوى الأعلى والأكثر حساسية، والتي تسمى غالبًا المفاتيح الرئيسية
  • إدارة المفاتيح
  • استخدام مواد بيانات مشفرة وحساسة، على سبيل المثال، أداء وظائف التشفير أو التوقيع الرقمي
  • تفريغ خوادم التطبيقات من أجل التشفير الكامل غير المتماثل والمتماثل.

يتم نشر وحدة أمان الأجهزة أيضًا لإدارة مفاتيح تشفير البيانات الشفافة لقواعد البيانات والمفاتيح لأجهزة التخزين مثل القرص أو الشريط.

توفر وحدة أمان الأجهزة الحماية المنطقية والمادية لهذه المواد، بما في ذلك مفاتيح التشفير، من الكشف والاستخدام غير المصرح به والخصوم المحتملين.

تدعم وحدة أمان الأجهزة كلاً من التشفير المتماثل وغير المتماثل (المفتاح العام). بالنسبة لبعض التطبيقات، مثل المراجع المصدقة والتوقيع الرقمي، فإن مادة التشفير هي أزواج (وشهادات) مفاتيح غير متماثلة تُستخدم في تشفير المفتاح العام.  مع التطبيقات الأخرى [9]، مثل تشفير البيانات أو أنظمة الدفع المالية، تتكون مادة التشفير أساسًا من مفاتيح متماثلة.

بعض أنظمة وحدة أمان الأجهزة هي أيضًا مسرعات تشفير للأجهزة. لا يمكنهم عادةً التغلب على أداء حلول الأجهزة فقط لعمليات المفاتيح المتماثلة. ومع ذلك، مع نطاقات الأداء من 1 إلى 10000 علامة RSA 1024 بت في الثانية، يمكن أن توفر وحدة أمان الأجهزة تفريغًا كبيرًا لوحدة المعالجة المركزية لعمليات المفاتيح غير المتماثلة. منذ أن أوصى المعهد الوطني للمعايير والتكنولوجيا (NIST) باستخدام مفاتيح RSA 2048 بت اعتبارًا من عام 2010، [10] أصبح الأداء في أحجام المفاتيح الأطول أكثر أهمية. لمعالجة هذه المشكلة، تدعم معظم وحدة أمان الأجهزة الآن تشفير المنحنى الإهليلجي (ECC)، والذي يوفر تشفيرًا أقوى مع أطوال مفاتيح أقصر.

البنية التحتية للمفاتيح العامة (PKI)

في بيئات PKI ، يمكن استخدام HSMs من قبل سلطات التصديق (CAs) وسلطات التسجيل (RAs) لإنشاء أزواج المفاتيح غير المتماثلة وتخزينها والتعامل معها. في هذه الحالات، هناك بعض الميزات الأساسية التي يجب أن يتمتع بها الجهاز، وهي:

  • حماية منطقية ومادية عالية المستوى
  • مخطط تفويض المستخدم متعدد الأجزاء (انظر مشاركة Blakley-Shamir السرية)
  • مراجعة كاملة وتتبع السجل
  • تأمين النسخ الاحتياطي للمفاتيح

من ناحية أخرى، يعتبر أداء الجهاز في بيئة PKI أقل أهمية بشكل عام، في كل من العمليات المتصلة وغير المتصلة بالإنترنت، حيث تمثل إجراءات سلطة التسجيل عنق الزجاجة في أداء البنية التحتية.

نظام الدفع بالبطاقة HSMs (البنوك HSM)

تستخدم HSMs المتخصصة في صناعة بطاقات الدفع. تدعم HSMs كلاً من وظائف الأغراض العامة والوظائف المتخصصة المطلوبة لمعالجة المعاملات والامتثال لمعايير الصناعة. وهي عادة لا تتميز بواجهة برمجة تطبيقات قياسية.

التطبيقات النموذجية هي ترخيص المعاملات وتخصيص بطاقة الدفع، والتي تتطلب وظائف مثل:

  • تحقق من أن رقم التعريف الشخصي الذي أدخله المستخدم يطابق رقم التعريف الشخصي المرجعي المعروف لجهة إصدار البطاقة
  • تحقق من معاملات بطاقة الائتمان / الخصم عن طريق التحقق من رموز أمان البطاقة أو عن طريق إجراء مكونات معالجة المضيف لمعاملة تستند إلى EMV جنبًا إلى جنب مع وحدة تحكم ATM أو محطة POS
  • دعم تشفير API ببطاقة ذكية (مثل EMV)
  • أعد تشفير كتلة PIN لإرسالها إلى مضيف ترخيص آخر
  • أداء إدارة آمنة للمفاتيح
  • دعم بروتوكول إدارة شبكة POS ATM
  • دعم معايير الأمر الواقع لمفتاح المضيف | API تبادل البيانات
  • إنشاء وطباعة "PIN mailer"
  • توليد بيانات لبطاقة شريطية مغناطيسية (PVV ، CVV)
  • إنشاء مجموعة مفاتيح بطاقة ودعم عملية التخصيص للبطاقات الذكية

المنظمات الرئيسية التي تنتج وتحافظ على معايير HSM في السوق المصرفية هي مجلس معايير أمان صناعة بطاقات الدفع و ANS X9 و ISO .

تأسيس اتصال SSL

يمكن أن تستفيد التطبيقات ذات الأداء الحرج التي يجب أن تستخدم HTTPS (SSL / TLS) من استخدام SSL Acceleration HSM عن طريق نقل عمليات RSA ، والتي تتطلب عادةً العديد من مضاعفات الأعداد الصحيحة الكبيرة، من وحدة المعالجة المركزية المضيفة إلى جهاز HSM. يمكن لأجهزة HSM النموذجية إجراء حوالي 1 إلى 10000 عملية RSA 1024 بت / ثانية.[11][12] بعض الأداء في أحجام المفاتيح الأطول أصبح ذا أهمية متزايدة. لمعالجة هذه المشكلة، تدعم بعض HSMs [13] الآن ECC. يمكن أن تصل أجهزة HSM المتخصصة إلى أرقام تصل إلى 20000 عملية في الثانية.[14]

ملحقات أمان نظام اسم المجال(DNSSEC)

يستخدم عدد متزايد من السجلات HSMs لتخزين المواد الرئيسية المستخدمة لتوقيع ملفات مناطق كبيرة. OpenDNSSEC هي أداة مفتوحة المصدر تدير توقيع ملفات منطقة DNS .

في 27 يناير 2007، بدأت ICANN و Verisign ، بدعم من وزارة التجارة الأمريكية، في نشر DNSSEC لمناطق جذر DNS .  يمكن العثور على تفاصيل توقيع الجذر على موقع الويب الخاص بـ Root DNSSEC.[15]

محفظة العملات المشفرة

يمكن تخزين Cryptocurrency في محفظة cryptocurrency على HSM.[16]

المراجع

  1. ^ Vignesh; Tuhin (13 Aug 2015). Proceedings of the International Conference on Information Engineering, Management and Security 2015: ICIEMS 2015 (بEnglish). Association of Scientists, Developers and Faculties (ASDF). ISBN:978-81-929742-7-9. Archived from the original on 2022-04-06. {{استشهاد بكتاب}}: الوسيط |مؤلف1= and |مؤلف= تكرر أكثر من مرة (help)
  2. ^ (PDF) https://web.archive.org/web/20220406085836/https://www.f5.com/pdf/solution-profiles/hardware-security-module-sp.pdf. مؤرشف من الأصل (PDF) في 2022-04-06. {{استشهاد ويب}}: الوسيط |title= غير موجود أو فارغ (مساعدة)
  3. ^ Michael (27 Oct 2014). CASP CompTIA Advanced Security Practitioner Study Guide: Exam CAS-002 (بEnglish). John Wiley & Sons. ISBN:978-1-118-93084-7. Archived from the original on 2022-04-06.
  4. ^ "NXP® Semiconductors Official Site | Home". www.nxp.com. مؤرشف من الأصل في 2022-05-05. اطلع عليه بتاريخ 2022-05-09.
  5. ^ "التصميم المرجعي للمقياس الذكي للكشف عن العبث الإلكتروني". مؤرشف من الأصل في 2022-03-19.
  6. ^ "Private Machines Inc. | High Performance Zero Trust Infrastructure Tech". privatemachines.com. مؤرشف من الأصل في 2022-04-12. اطلع عليه بتاريخ 2022-05-09.
  7. ^ "توصية بشأن الإدارة الرئيسية" (PDF). مؤرشف من الأصل (PDF) في 2022-04-23.
  8. ^ "Official PCI Security Standards Council Site - Verify PCI Compliance, Download Data Security and Credit Card Security Standards". www.pcisecuritystandards.org. مؤرشف من الأصل في 2022-05-06. اطلع عليه بتاريخ 2022-05-09.
  9. ^ "أمان التطبيقات والمعاملات / HSM". مؤرشف من الأصل في 2022-03-19.
  10. ^ Barker, Elaine; Roginsky, Allen (6 Nov 2015). "Transitions: Recommendation for Transitioning the Use of Cryptographic Algorithms and Key Lengths" (بEnglish). Archived from the original on 2022-04-25. {{استشهاد بدورية محكمة}}: الاستشهاد بدورية محكمة يطلب |دورية محكمة= (help)
  11. ^ (PDF) https://web.archive.org/web/20220319195254/https://secappdev.org/handouts/2010/Filip%20Demaertelaere/HSM.pdf. مؤرشف من الأصل (PDF) في 2022-03-19. {{استشهاد ويب}}: الوسيط |title= غير موجود أو فارغ (مساعدة)
  12. ^ "Preparing to Issue 200 Million Certificates in 24 Hours - Let's Encrypt". letsencrypt.org (بen-US). Archived from the original on 2022-03-19. Retrieved 2022-05-09.{{استشهاد ويب}}: صيانة الاستشهاد: لغة غير مدعومة (link)
  13. ^ "Barco Silex FPGA Design Speeds Transactions In Atos Worldline Hardware Security Module". www.electronicspecifier.com (بEnglish). Archived from the original on 2022-03-20. Retrieved 2022-05-09.
  14. ^ "Luna Network Hardware Security Modules (HSMs) | Thales". cpl.thalesgroup.com. مؤرشف من الأصل في 2022-04-25. اطلع عليه بتاريخ 2022-05-09.
  15. ^ "ICANN Begins Public DNSSEC Test Plan for the Root Zone". circleid.com (بEnglish). Archived from the original on 2022-03-19. Retrieved 2022-05-09.
  16. ^ "GEMALTO AND LEDGER JOIN FORCES TO PROVIDE SECURITY INFRASTRUCTURE FOR CRYPTOCURRENCY BASED ACTIVITIES". Thales Group (بEnglish). Archived from the original on 2022-03-19. Retrieved 2022-05-09.


مجلوبة من «https://3rabica.org/index.php?title=وحدة_أمان_الأجهزة&oldid=3427301»