讨论:做一个硬件安全模块
novakon2016/04/06软件综合 IP:广东
在我的上一篇文章末尾(https://www.kechuang.org/t/79505),我简要论述了“硬件安全模块”对互联网信息安全的重要性。如今,无数的银行业、支付业者使用HSM保证它们的业务不受黑客的破坏。
我提出的问题是:硬件安全模块能自己做吗?

在回答这个问题之前,不妨看看以下两篇文章。
XXXXXXXXXXXXXXXXXXXXXXXXXXXX/art/201005/XXXXXXXXXm
如果你要保护你的整个支付基础设施,而该支付基础设施每年要处理数十亿美元的交易,那么HSM的价格根本不算昂贵。你总是要在更广泛的安全投资背景下看待HSM的价格。必须承认,在相当长的一段时间里,HSM一直是一种相对专业的技术,这一点千真万确。有些公司靠购买10套左右的HSM勉强应付;多数公司并没有大规模地部署HSM。HSM设备每年的市场销售量还不到几十万。我认为我们正处在该行业的转折点。作为一种高度集中、非常专业的安全功能,全球最优秀的安全产品采购商十年来一直采购HSM并对其赞不绝口。我们现在看到,同样的最佳实践和同样的技术正被应用到更加多样化、更加主流的加密市场。这一趋势给HSM市场带来了一些压力,以使其产品适应特定客户的需求,这些客户缺乏经验,正在寻求可以使用和部署不太复杂的加密方法。我认为,HSM或强化密钥管理以及加密处理市场将发生巨大的变化:价格下降、可用性提高、用户在部署时需要考虑的因素更多。
XXXXXXXXXXXXXXXXXXXXXXX/2014/12-4/XXXXXXXXXXXXXXml
SafeNet 通用 HSM:Luna SA:一款网络连接 HSM,可保护组织内部、虚拟和云环境中应用程序使用的密钥。Luna PCI-E:一款嵌入式 HSM,可保护加密密钥并加速敏感加密操作。Luna G5:一款 USB 连接 HSM,是在离线密钥存储设备中保存根密钥的理想选择。

结合我的上一篇文章(如果没有读过,建议先读一下),一个最简单的实用HSM大概是这样工作的:
1)通过一定的接口与计算机通信
2)内部保存有私钥,且无法通过任何暴力手段获得该私钥
3)能够利用内部保存的私钥,签发证书,此证书可由对应的公钥验证。

其实,我们常说的“加密狗” “U盾”都属于HSM,但它们一般只能保存证书(而且不算特别安全),不一定具有签发证书的功能。

为此我画了一个草图。
QQ截图20160406155305.jpg

是不是有点像树莓派?其实就是一个网络服务器,可以利用内置的OpenSSL软件签发证书,并返回给用户。
附加要求挺简单:
1)只能通过网络与外界联系,不允许通过其他方式访问。网络接口对外必须不暴露任何漏洞,例如恶意流量导致的缓冲区溢出,等等。
2)盒子非常坚固,难以破坏、拆卸;即便拆开,也无法获取到内部存储的密钥。
3)无法从盒子之外通过各种窥探方式(例如电流监测、电磁辐射监测)有效地获知盒子内部的工作状态,也即无法窥探出密钥。



基于这样的HSM模块,我们可以涉足许多有意思的领域,例如谍报、保密,还有当下最火的支付业务。
来自:计算机科学 / 软件综合
16
已屏蔽 原因:{{ notice.reason }}已屏蔽
{{notice.noticeContent}}
~~空空如也

想参与大家的讨论?现在就 登录 或者 注册

所属专业
上级专业
同级专业
novakon
学者 机友 笔友
文章
1256
回复
8385
学术分
16
2008/03/29注册,2年2个月前活动

已走,勿送

主体类型:个人
所属领域:无
认证方式:手机号
IP归属地:未同步
文件下载
加载中...
{{errorInfo}}
{{downloadWarning}}
你在 {{downloadTime}} 下载过当前文件。
文件名称:{{resource.defaultFile.name}}
下载次数:{{resource.hits}}
上传用户:{{uploader.username}}
所需积分:{{costScores}},{{holdScores}}下载当前附件免费{{description}}
积分不足,去充值
文件已丢失

当前账号的附件下载数量限制如下:
时段 个数
{{f.startingTime}}点 - {{f.endTime}}点 {{f.fileCount}}
视频暂不能访问,请登录试试
仅供内部学术交流或培训使用,请先保存到本地。本内容不代表科创观点,未经原作者同意,请勿转载。
音频暂不能访问,请登录试试
支持的图片格式:jpg, jpeg, png
插入公式
评论控制
加载中...
文号:{{pid}}
投诉或举报
加载中...
{{tip}}
请选择违规类型:
{{reason.type}}

空空如也

加载中...
详情
详情
推送到专栏从专栏移除
设为匿名取消匿名
查看作者
回复
只看作者
加入收藏取消收藏
收藏
取消收藏
折叠回复
置顶取消置顶
评学术分
鼓励
设为精选取消精选
管理提醒
编辑
通过审核
评论控制
退修或删除
历史版本
违规记录
投诉或举报
加入黑名单移除黑名单
查看IP
{{format('YYYY/MM/DD HH:mm:ss', toc)}}