HSM

本文约需 2 分钟阅读

HSM (Hardware Security Module，硬件安全模块) 是一种在专用硬件内安全地生成、保管和处理加密密钥的设备。由于密钥不会离开设备即可完成加密处理，因此与基于软件的密钥管理相比，能够实现高得多的安全性。截至 2025 年，随着云 HSM 服务的普及，中小企业也能够轻松使用 HSM 级别的密钥保护。

现场使用案例

“为了符合 PCI DSS 合规要求，我们将信用卡信息的加密密钥迁移到了 AWS CloudHSM。通过使用获得 FIPS 140-2 Level 3 认证的专用硬件来保护密钥，我们在满足审计要求的同时，将运营成本控制在物理 HSM 的十分之一。”

HSM 的运作原理

HSM 在具备防篡改性 (抵御物理攻击的能力) 的专用芯片上进行加密处理。它具有在有人试图拆解设备时自动清除密钥的机制，获得 FIPS 140-2/140-3 Level 3 以上认证的产品被金融机构和政府机构广泛使用。在云环境中，AWS CloudHSM 和 Azure Dedicated HSM 以服务形式提供专用 HSM，用于保护PKI 认证机构的私钥以及处理数字签名。HSM 入门书 (Amazon)可供系统性学习。

应用场景

在支付系统中，信用卡的 PIN 验证和交易签名都离不开 HSM。 PCI DSS (Payment Card Industry Data Security Standard) 将使用 HSM 保护卡片信息的加密密钥作为一项要求。在区块链的验证者节点中，HSM 也被用于保护签名密钥。在理解了加密基础之后再学习 HSM 的作用，会更容易把握整体情况。

导入的判断标准

由于 HSM 成本高昂 (物理设备需数百万日元，即使是云端每月也要数万日元)，因此没有必要用 HSM 管理所有密钥。比较现实的做法是仅对根 CA 的私钥、支付处理的加密密钥、主密钥等最重要的密钥使用 HSM，其余则用云端的 KMS 服务管理。请使用足够长的随机密码保护 HSM 的管理界面，并对管理员访问强制实施多因素认证。加密密钥保护书籍 (Amazon)也很有参考价值。