Yubico YubiHSM 2 V2.2 FIPS (USB-A)

YubiHSM 2 FIPS on älykäs laitteistoratkaisu, joka suojaa CA-juuriavaimet hyökkääjien, haittaohjelmien ja haitallisten sisäpiiriläisten kopioimiselta. Se tarjoaa ylivertaisen kustannustehokkaan tietoturvan ja helpon käyttöönoton, minkä ansiosta se on kaikkien organisaatioiden käytettävissä.

Edut

• FIPS 140-2 -validoitu (taso 3)
• Kustannustehokas HSM-ratkaisu
• Yksinkertainen toteutus
• Turvallinen avainten säilytys ja drift

Suositeltu käyttö

Paranna salausavainten suojausta
YubiHSM 2 tarjoaa vakuuttavan vaihtoehdon suojatun avainten luomiseen, tallentamiseen ja hallintaan. Avainsuojaus tehdään suojatussa laitteistossa sirulla, joka on eristetty palvelimen toiminnoista. Yleisimmät käyttötapaukset koskevat varmentajan (CA:n) yksityisen avaimen suojaamista. YubiHSM 2:n toimintoihin kuuluvat: avainten luominen, kirjoittaminen, sign , salauksen purkaminen, hajautus ja rivitys.

Integroi nopeasti laitteistopohjaiseen vahvaan tietoturvaan
YubiHSM 2:ta voidaan käyttää kattavana salaustyökaluna pienivolyymillisiin operaatioihin yhdistettynä valtavaan joukkoon avoimen lähdekoodin ja kaupallisia sovelluksia, jotka kattavat monia erilaisia tuotteita ja palveluita. Yleisin käyttötapaus sisältää sirun laitteistopohjaisen käsittelyn sign luomista ja todentamista varten. YubiHSM 2 tukee alan standardia PKCS#11.

Suojatut Microsoft Active Directory -varmennepalvelut
YubiHSM 2 voi tarjota laitteiston tukemia avaimia Microsoft-pohjaiseen PKI-toteutukseen. sign 2:n käyttöönotto Microsoft Active Directory -varmennepalveluissa suojaa CA-juuriavaimet, mutta suojaa myös kaikkia allekirjoitus- ja vahvistuspalveluita, jotka käyttävät yksityistä avainta.

Turvallinen avainten säilytys ja drift

• FIPS 140-2 -validoitu (taso 3)
• Kattavat salaustoiminnot: RSA, ECC, ECDSA (ed25519), SHA-2, AES
• Suojattu istunto HSM:n ja sovelluksen välillä
• Roolipohjaiset pääsynhallintalaitteet avainten hallintaan ja käyttöön
• 16 samanaikaista yhteyttä
• Vaihtoehtoisesti verkon jaettavissa
• Etähallinta
• Ainutlaatuinen " Nano " -muotokerroin, alhainen virrankulutus
• M of N kääreavain Varmuuskopioi ja palauta
• Käyttöliittymä YubiHSM KSP:n, PKCS#11:n ja alkuperäiskirjastojen kautta
• Vuorosuojattu tarkastusloki

Turvalliset kryptovaluuttojen vaihdot
Kryptovaluuttamarkkinoiden räjähdysmäisen kasvun myötä mukana tulee myös suuri määrä omaisuutta, joka tarvitsee suojaa uusilta turvallisuusriskeiltä. YubiHSM 2:n avulla organisaatiot voivat suojata salausavaimet vahvasti ja pitää arkaluonteiset taloustiedot turvassa.

Suojaa Internet of Things (IoT) -ympäristöjä
Internet-of-Things (IoT) on nopeasti kasvava ala, jossa järjestelmät toimivat usein vihamielisissä ympäristöissä. Tämä tekee salausavainten turvaamisesta entistä tärkeämpää, koska organisaatioiden on suojattava arkaluonteisia tietoja. Kryptografisia avaimia käytetään monissa IoT-sovelluksissa, mutta suojaus on riittämätön. IoT-sovelluksia rakentavat kehittäjät voivat nopeasti ottaa käyttöön YubiHSM 2:n tuen suojatakseen salausavaimia ja estääkseen kriittisiä IoT-ympäristöjä joutumasta vihamielisten valtausten uhreiksi.

Toiminnalliset yksityiskohdat

FIPS 140-2
YubiKey HSM 2 FIPS on FIPS 140-2 -validoitu (taso 3) ja täyttää NIST SP800-63B -ohjeiden korkeimman todennustason 3 (AAL3).

Turvallinen avainten säilytys ja drift
Luo, tuo ja tallenna avaimia ja suorita sitten kaikki salaustoiminnot HSM-laitteistossa estääksesi avainten varastamisen levossa tai käytössä. Tämä suojaa sekä palvelinta vastaan kohdistuvilta loogisilta hyökkäyksiltä, kuten nollapäivän hyökkäyksiltä tai haittaohjelmilta, että palvelimen tai sen kiintolevyn fyysisiltä varkauksilta.

Laajat kryptografiset ominaisuudet
YubiHSM 2 tukee tiivistystä, avainten rivitystä, epäsymmetristä allekirjoitusta ja salauksen purkutoimintoja, mukaan lukien edistynyt sign sign :llä. Todennusta tuetaan myös laitteeseen luoduille epäsymmetrisille avainpareille.

Suojattu istunto HSM:n ja sovelluksen välillä
HSM:n ja sovellusten välillä siirrettyjen komentojen ja tietojen eheys ja eheys suojataan molemminpuolisesti todennetun, yksityisyyden ja luottamuksellisuuden suojatun tunnelin avulla.

Roolipohjaiset pääsynhallintalaitteet avainten hallintaan ja käyttöön
Kaikki salausavaimet ja muut HSM:n objektit kuuluvat yhteen tai useampaan suojausalueeseen. Kullekin todennusavaimelle määritetään käyttöoikeudet luonnin yhteydessä, mikä mahdollistaa tietyn joukon salaus- tai hallintatoimintoja suojausaluetta kohti. mini myöntävät oikeuksia todennusavaimille sen käyttötapauksen perusteella, kuten tapahtumien valvontasovellukselle, joka tarvitsee kyvyn lukea kaikki HSM:n tarkastuslokit, tai rekisteröintiviranomaiselle, jonka on myönnettävä (sign) loppukäyttäjän digitaalisia varmenteita, tai verkkotunnus, esimerkiksi mini strator, jonka on luotava ja poistettava salausavaimet.

16 samanaikaista yhteyttä
Useat sovellukset voivat muodostaa istuntoja YubiHSM:n kanssa salaustoimintojen suorittamiseksi. Istunnot voidaan lopettaa automaattisesti, kun niitä ei ole käytetty, tai ne voivat olla pitkäikäisiä suorituskyvyn parantamiseksi poistamalla istunnon luomisaika.

Verkko jaettavissa
Käyttöönoton joustavuuden lisäämiseksi YubiHSM 2 voidaan asettaa muiden palvelimien sovellusten käytettäväksi verkon yli. Tämä voi olla erityisen hyödyllistä fyysisessä palvelimessa, joka isännöi useita virtuaalikoneita.

Etähallinta
Hallitse helposti useita acer ade YubiHSM:itä etänä koko yritykseltä - eliminoi päivystävän henkilöstön ja matkakulujen monimutkaisuuden.

Ainutlaatuinen " Nano " -muotokerroin, alhainen virrankulutus
Yubico " Nano " -muotokerroin mahdollistaa HSM:n liittämisen kokonaan USB-A-porttiin niin, että se on täysin piilossa - palvelimen taka- tai etukotelosta ei työnty esiin ulkoisia osia. Se käyttää minimivirtaa, enintään mini , säästääkseen kustannuksia energiabudjetissasi.

M of N kääreavain Varmuuskopioi ja palauta
Salausavaimien varmuuskopiointi ja jakaminen useiden HSM:ien kesken on kriittinen osa yrityksen tietoturva-arkkitehtuuria, mutta tämän ominaisuuden salliminen yksittäiselle henkilölle on riski. YubiHSM tukee M/N säännön asettamista mini , jota käytetään avainten viemiseen varmuuskopiointia tai siirtoa varten, joten useiden ministrategioiden on tuotava ja purettava avain, jotta sitä voidaan käyttää muissa HSM:issä. Esimerkiksi yrityksessä Active Directory mini yksityinen avain voidaan avata seitsemään ministrateriin (N=7), ja vähintään 4 niistä (M=4) tarvitaan avaimen tuomiseen ja purkamiseen (salauksen purkamiseen) uusi HSM.

Käyttöliittymä YubiHSM KSP:n, PKCS#11:n ja alkuperäiskirjastojen kautta
Kryptokäyttöiset sovellukset voivat hyödyntää YubiHSM: Yubico Key Storage Providerin (KSP) kautta Microsoftin CNG:lle tai alan standardille PKCS#11. Alkuperäiset kirjastot ovat saatavilla myös Windowsissa, Linuxissa ja macOS:ssä, mikä mahdollistaa suorimman vuorovaikutuksen laitteen toimintojen kanssa.

Vuorosuojattu tarkastusloki
YubiHSM tallentaa sisäisesti lokin kaikista laitteessa tapahtuvista hallinta- ja salaustoimintotapahtumista, ja tämä loki voidaan viedä seurantaa ja raportointia varten. Jokainen lokin tapahtuma (rivi) on hash-ketjutettu edellisen rivin kanssa ja sign siten, että on mahdollista määrittää, onko tapahtumia muutettu tai poistettu.

Suora USB-tuki
YubiHSM 2 voi puhua suoraan USB-kerrokselle ilman välivaiheen HTTP-mekanismia. Tämä tarjoaa paremman kokemuksen kehittäjille, jotka kehittävät ratkaisuja virtualisoituihin ympäristöihin.

Tekniset tiedot

Käyttöjärjestelmätuki: Windows, Linux, macOS

• Linux: CentOS 7, Debian 8, Debian 9, Debian 10, Fedora 28, Fedora 30, Fedora 31, Ubuntu 1404, Ubuntu 1604, Ubuntu 1804, Ubuntu 1810, Ubuntu 1904, 19 Ubuntu
• Windows: Windows 10, Windows Server 2012, Windows Server 2016, Windows Server 2019
• macOS: 10.12 Sierra, 10.13 High Sierra, 10.14 Mojave

Salausliittymät (API):

• Microsoft CNG (KSP)
• PKCS#11 (Windows, Linux, macOS)
• Natiivit YubiHSM-ydinkirjastot (C, python)

Kryptografiset ominaisuudet

• Hashing (käytetään sign :n ja epäsymmetristen allekirjoitusten kanssa)
• SHA-1, SHA-256, SHA-384, SHA-512
• RSA
• 2048-, 3072- ja 4096-bittiset avaimet
• Allekirjoitus PKCS# Sign :llä ja PSS:llä
• Salauksen purku PKCS#1v1.5:llä ja OAEP:llä
• Elliptisen käyrän kryptografia (ECC)
• Käyrät: secp224r1, secp256r1, secp256k1, secp384r1, secp521r, bp256r1, bp384r1, bp512r1, käyrä25519
• Allekirjoitus: ECDSA (kaikki paitsi Sign), EdDSA (vain käyrä25519)
• Salauksen purku: ECDH (kaikki paitsi curve25519)
• Avaimen kansi
• Tuo ja vie NIST AES-CCM Wrapin avulla 128, 196 ja 256 bittiä
• Satunnaisia numeroita
• Sirulla oleva TRNG (True Random Number Generator) -generaattori, jota käytettiin näkemään NIST SP 800-90 AES 256 CTR_DRBG

Todistus

Laitteeseen luodut epäsymmetriset avainparit voidaan todistaa tehtaan sertifioidulla todistusavaimella ja varmenteella tai omalla avaimella ja varmenteella, joka on tuotu HSM:ään

Esitys

Suorituskyky vaihtelee käytön mukaan. Mukana oleva Software Development Kit sisältää suorituskykytyökaluja, joita voidaan käyttää lisämittauksiin. Esimerkki muutoin käyttämättömän YubiHSM 2:n mittareista:

• RSA-2048-PKCS1-SHA256: ~139 ms keskim
• RSA-3072-PKCS1-SHA384: ~504 ms keskim
• RSA-4096-PKCS1-SHA512: ~852 ms keskim
• ECDSA-P256-SHA256: ~73 ms keskim
• ECDSA-P384-SHA384: ~120 ms keskim
• ECDSA-P521-SHA512: ~210 ms keskim
• EdDSA-25519-32 tavua: ~105 ms keskim
• EdDSA-25519-64 tavua: ~121 ms keskim
• EdDSA-25519-128 tavua: ~137 ms keskim
• EdDSA-25519-256 tavua: ~168 ms keskim
• EdDSA-25519-512 tavua: ~229 ms keskim
• EdDSA-25519-1024 tavua: ~353 ms keskim
• AES-(128|192|256)-CCM-Wrap: ~10ms keskim.
• HMAC-SHA-(1|256): ~4ms keskim
• HMAC-SHA-(384|512): ~243 ms keskim

Varastokapasiteetti

• Kaikki tiedot tallennetaan objekteina. 256 kohdepaikkaa, yhteensä enintään 128 kt (kanta 10).
• Tallentaa enintään 127 rsa2048, 93 rsa3072, 68 rsa4096 tai 255 minkä tahansa elliptisen käyrän tyyppiä, jos vain yksi todennusavain on olemassa
• Objektityypit: Todennusavaimet (käytetään istuntojen perustamiseen); epäsymmetriset yksityiset avaimet; läpinäkymättömät binääritietoobjektit, esim. x509-sertifikaatti; kääri avaimet; HMAC avaimet

Hallinto

• Keskinäinen todennus ja suojattu kanava sovellusten ja HSM:n välillä
• M of N pura avaimen palautus YubiHSM Setup Toolin kautta

trust ohjelmistokehitykseen

• YubiHSM 2:n ohjelmistokehityspaketti on ladattavissa osoitteesta Yubico , ja se sisältää:
• YubiHSM Core Library (libyubihsm) C:lle, Python
• YubiHSM Shell (Configuration CLI)
• PKCS#11 moduuli
• YubiKey Key Storage Provider (KSP) käytettäväksi Microsoftin kanssa
• YubiHSM-liitin
• YubiHSM-asennustyökalu
• Dokumentaatio- ja koodinäytteet

Turvallisuus ja ympäristönsuojelu

• FCC
• CE
• WEEE
• ROHS

Isäntäkäyttöliittymä

Universal Serial Bus (USB) 1.x Full Speed (trust / s), joka luottaa joukkoliittymään.

Fyysiset ominaisuudet

• Muototekijä: " nano " sign ahtaissa tiloissa, kuten palvelimien sisäiset USB-portit
• Mitat: 12 mm x 13 mm x 3,1 mm
• Paino: 1 grammaa
• Virrantarve 20mA keskimäärin, 30mA max
• USB-A-liitin

Sopii:	Mac tai PC USB-A:lla
Väri:	Musta
Yhteys:	USB-A