Thiết bị bảo mật phần cứng (HSM)
Hardware security module
Thiết bị chuyên dụng để tạo, cất và dùng khóa mật mã ngay bên trong nó. Giống một két sắt có thủ quỹ ngồi trong: bạn đưa giấy qua khe để được đóng dấu, còn con dấu không bao giờ ra khỏi két.
HSM (hardware security module) là một thiết bị tính toán chuyên xử lý các phép mã hóa và cất giữ an toàn khóa mật mã. Trong lưu ký tài sản số, HSM thường giữ khóa riêng của ví và thực hiện việc ký giao dịch ngay bên trong thiết bị. Phần mềm bên ngoài chỉ gửi yêu cầu và nhận lại chữ ký, không nhìn thấy khóa.
Hình dung trong đời sống. Một két sắt có ô cửa nhỏ, bên trong là thủ quỹ và con dấu. Ai cần đóng dấu thì đưa giấy qua khe; thủ quỹ đóng rồi trả ra. Con dấu không bao giờ rời két, và nếu có người cố cạy két, thủ quỹ hủy con dấu ngay. Điều này không chỉ là ví von: theo chuẩn FIPS 140-2 của NIST, thiết bị mật mã ở cấp an toàn 3 phải phát hiện được việc cạy mở và xóa ngay các khóa bí mật khi nắp hoặc vỏ bị tháo.
Giới hạn. HSM chống được việc lấy trộm khóa, nhưng tự nó không biết tờ giấy nào nên đóng dấu. Thủ quỹ đóng dấu cho mọi yêu cầu đi đúng kênh. Nếu kẻ gian điều khiển được người đưa giấy, hoặc quy tắc kiểm tra quá lỏng, văn bản trái phép vẫn mang dấu thật, trong khi khóa chưa từng bị lộ. Vì vậy HSM cần đi kèm chính sách ký và quy trình phê duyệt chặt chẽ.
Nguồn tham khảo
- AWS CloudHSM User Guide — What is AWS CloudHSM? (định nghĩa HSM)
- NIST FIPS 140-2 — Security Requirements for Cryptographic Modules, mục 1.3 và 4.5 (cấp an toàn 3)
- NIST — Cryptographic Module Validation Program (FIPS 140-3)
Xuất hiện trong bài
Thuật ngữ liên quan
Định nghĩa do AI biên soạn từ các nguồn trên, tác giả duyệt. Đây là thông tin tham khảo, không phải tư vấn pháp lý hay đầu tư. Thấy chỗ chưa đúng? Hãy góp ý để tác giả sửa.