Esploriamo gli HSM

Le operazioni crittografiche sono vane se le chiavi private utilizzate non sono ben protette. Gli HSM migliorano la sicurezza di molte applicazioni che si occupano di crittografia e firma digitale

Un Hardware Security Module (HSM) è un dispositivo fisico dedicato a proteggere informazioni sensibili tramite una protezione aggiuntiva. Tra le sue funzioni principali rientra il provisioning di chiavi crittografiche utilizzate per crittografia, decrittografia e autenticazione di applicazioni, identità e database. In altre parole, l’HSM svolge un ruolo fondamentale nella protezione delle informazioni attraverso la gestione e la sicurezza delle chiavi crittografiche, necessarie per garantire la confidenzialità e l’integrità dei dati.

Gli HSM sono disponibili in diverse forme e possono essere integrati in altri dispositivi hardware come smart card, appliance e altri dispositivi esterni, oppure presentarsi come schede plug-in. Possono essere utilizzati come dispositivi autonomi offline o connessi a un server di rete. Inoltre, i servizi di HSM sono disponibili anche tramite il cloud, offrendo maggiore flessibilità per le organizzazioni che desiderano utilizzare questo tipo di dispositivo.

Le aziende utilizzano i moduli di protezione hardware per mantenere separate, dalle normali operazioni, le funzioni crittografiche correlate a transazioni e identità e per controllare l’accesso a tali funzioni. Ad esempio, un’azienda potrebbe proteggere i propri segreti commerciali o proprietà intellettuali utilizzando un modulo di protezione hardware, il quale garantisce che solo le persone autorizzate possano accedere al modulo stesso per completare un trasferimento della chiave di crittografia.

Perché gli HSM sono sicuri?

Un modulo di protezione hardware è un dispositivo “attendibile” perché:

• È costruito su hardware specializzato, in laboratori dedicati e l’hardware è stato accuratamente testato e certificato
• Ha un sistema operativo incentrato sulla sicurezza
• Ha accesso limitato attraverso un’interfaccia di rete strettamente controllata da regole interne
• Nasconde e protegge attivamente i dati crittografici.

Come funzionano gli Hardware Security Modules

Per mantenere sicuro un sistema, è fondamentale proteggere le chiavi in un sistema crittografico. Tuttavia, la gestione del ciclo di vita delle chiavi stesse, rappresenta una grande sfida. È in questo contesto che i moduli di protezione hardware entrano in gioco, in quanto gestiscono tutti gli aspetti del ciclo di vita di una chiave di crittografia. Questi moduli sono responsabili di sei passaggi essenziali:

Il primo passaggio gestito dagli HSM è il provisioning, ovvero la creazione delle chiavi. Queste possono essere generate dal modulo stesso, da un sistema di gestione delle chiavi diverso o da un’organizzazione di terze parti specializzata in questa attività. È importante che le chiavi vengano create utilizzando un adeguato generatore di numeri casuali.

Il secondo passaggio riguarda il backup e l’archiviazione delle chiavi. È necessario creare una copia delle chiavi e conservarla in modo sicuro, per resilienza in caso di compromissione o smarrimento delle stesse. Le chiavi possono essere memorizzate all’interno del modulo di protezione hardware oppure su supporti esterni. In ogni caso, le chiavi private devono essere crittografate prima di essere archiviate.

Il terzo passaggio è il deployment, ovvero l’installazione delle chiavi in un dispositivo di crittografia, come ad esempio un HSM.

Il quarto passaggio riguarda la gestione delle chiavi. Queste vengono controllate e monitorate in conformità agli standard di settore e alle politiche interne dell’organizzazione. Il sistema di gestione delle chiavi di crittografia si occupa della rotazione delle chiavi, distribuendo nuove chiavi alla scadenza di quelle esistenti.

Il quinto passaggio è relativo all’archiviazione delle chiavi. Le chiavi disattivate vengono archiviate offline a lungo termine, in modo che possano essere utilizzate in futuro per accedere ai dati crittografati con quelle chiavi.

Il sesto e ultimo passaggio riguarda l’eliminazione delle chiavi. Prima di distruggere le chiavi, è necessario stabilire in modo accurato che non siano più necessarie. In seguito, le chiavi devono essere distrutte in modo sicuro e permanente.

L’HSM è progettato per garantire la sicurezza delle chiavi crittografiche e gestire i processi di crittografia e decrittografia in modo sicuro. Inoltre, i moduli di protezione hardware gestiscono l’intero ciclo di vita delle chiavi crittografiche, dalla loro creazione alla loro eliminazione, passando per il backup, l’archiviazione e la gestione.

Sono in grado di creare e verificare firme digitali e, ogni transazione che coinvolge un HSM viene registrata per creare un audit trail. Grazie a questi dispositivi, le aziende sono in grado di spostare le informazioni e i processi sensibili dalla documentazione cartacea a un formato digitale. Inoltre, è possibile utilizzare più moduli di protezione hardware in modo congiunto per gestire le chiavi pubbliche, senza impattare in modo significativo sulla velocità dell’applicazione.

Funzionalità degli HSM

Le funzionalità degli HSM sono cruciali per garantire la sicurezza delle chiavi crittografiche che proteggono informazioni e processi sensibili. Tra queste funzionalità troviamo:

• Design sicuro: i moduli di protezione hardware sono progettati con hardware dedicato che rispetta gli standard governativi come FIPS 140-2, Common Criteria e i requisiti HSM del settore delle carte di pagamento.
• Resistenza alla manomissione: gli HSM vengono temprati per resistere a manomissioni illecite e danni non intenzionali.
• Sistema operativo sicuro: i moduli di protezione hardware dispongono di un sistema operativo focalizzato sulla sicurezza.
• Isolamento: gli HSM sono collocati in una zona fisicamente protetta del data center per impedire l’accesso non autorizzato. Alcune organizzazioni preferiscono collocare i moduli di protezione hardware in un data center di terze parti invece di conservarli in loco.
• Controlli di accesso: gli HSM controllano l’accesso ai dispositivi e ai dati che proteggono. Sono progettati per rilevare eventuali manomissioni e, alcuni, diventano inutilizzabili o eliminano le chiavi crittografiche in caso di manomissione.
• API: i moduli di protezione hardware supportano un’ampia gamma di API (Application Programming Interface) per integrare le applicazioni e sviluppare applicazioni personalizzate che utilizzano lo standard di crittografia a chiave pubblica e la crittografia di nuova generazione.

Quando utilizzare gli HSM

L’utilizzo di un modulo di protezione hardware dovrebbe essere preso in considerazione da qualsiasi azienda che gestisce informazioni sensibili o preziose, come ad esempio i dati delle carte di credito o debito, la proprietà intellettuale, i dati dei clienti e delle risorse umane. Gli HSM sono in grado di proteggere i dati generati da un’ampia gamma di applicazioni, tra cui siti web, transazioni bancarie, pagamenti mobili, criptovalute, contatori intelligenti, dispositivi medici, carte d’identità, numeri di identificazione personale (PIN) e documenti digitali.

Gli ambiti applicativi degli HSM sono molteplici e includono:

• Firma digitale
• Generazione e gestione delle chiavi crittografiche
• Garanzia della conformità
• Semplificazione degli audit
• Protezione dei dati sensibili e delle identità digitali

Lo standard PCI DSS (Payment Card Industry Data Security Standard) impiega moduli di protezione hardware specializzati che offrono le funzionalità di sicurezza necessarie per le transazioni finanziarie. Questi dispositivi supportano diverse applicazioni, tra cui la gestione dei codici PIN, la fornitura delle credenziali relative alla carta di pagamento e all’app mobile, nonché funzionalità di verifica per i codici PIN e le carte di pagamento.

Per creare una firma digitale si utilizza una chiave privata per criptare la firma stessa. Successivamente, il destinatario della firma può decrittografarla utilizzando la chiave pubblica del firmatario.

Gli HSM nel cloud computing

L’avvento del cloud computing ha reso più complesso il processo di protezione dei dati sensibili, poiché la maggior parte di essi è stata spostata sul cloud. Inoltre, l’utilizzo di dispositivi HSM locali non sempre è possibile in ambienti cloud. I fornitori di servizi cloud possono richiedere ai propri clienti l’utilizzo di HSM ospitati nei loro data center. Tuttavia, se un provider consente l’utilizzo di un dispositivo locale, problemi di connettività possono causare latenze indesiderate nelle transazioni.

Inizialmente, i fornitori di servizi cloud fornivano i propri servizi di gestione delle chiavi. Tuttavia, tali servizi non erano sempre utilizzabili in ambienti cloud ibridi e multi-cloud, il che ha costretto i clienti ad affrontare la complessità di più strumenti di gestione delle chiavi che rispondessero alle proprie strategie.

Il KMaaS, ovvero gestione delle chiavi come servizio, rappresenta un modo efficace per proteggere le chiavi di crittografia in diversi ambienti cloud. Questi servizi consentono di accedere a strumenti centralizzati e on-demand a livello di HSM, senza la necessità di eseguire il provisioning dell’hardware. In questo modo, le aziende che utilizzano diversi servizi cloud possono rivolgersi allo stesso provider di KMaaS per distribuire e gestire le chiavi di crittografia necessarie. Questa pratica diventa particolarmente utile man mano che un’azienda si espande e diversifica i propri servizi cloud.

I prodotti di KMaaS rispettano gli stessi standard degli HSM locali e supportano una vasta gamma di API. Utilizzando tali sistemi, la gestione delle chiavi di crittografia avviene attraverso un nodo edge (di perimetro), che riduce la latenza e migliora le prestazioni delle applicazioni.

I principali fornitori di servizi cloud come AWS, Google, IBM e Microsoft, offrono prodotti di KMaaS cloud, ma ci sono anche aziende di minori dimensioni come Entrust e Thales che offrono questi servizi.

Sicurezza dei dati e conformità alla privacy

I moduli di sicurezza hardware sono al centro della gestione della sicurezza dei dati e della privacy. Per questo motivo, sono sottoposti a un maggiore controllo, poiché le imprese e altre organizzazioni affrontano crescenti minacce in queste aree. Gli HSM più specializzati devono essere conformi a una serie di standard e regolamenti, tra cui:

• Regolamento generale sulla protezione dei dati dell’Unione europea (GDPR)
• Standard di sicurezza dei dati PCI DSS
• Domain Name System Security Extensions (DNSSEC)
• FIPS 140-2 (requisiti di sicurezza per i moduli crittografici)
• Common Criteria (standard ISO/IEC 15408)

HSM, sinonimo di sicurezza

Gli HSM sono un elemento centrale della sicurezza delle informazioni. Forniscono la generazione centralizzata delle chiavi, la gestione e lo storage di cui le aziende hanno bisogno, nonché funzionalità di autenticazione e firma digitale.

La tecnologia HSM ha dimostrato di avere la flessibilità necessaria per tenere il passo con la migrazione al cloud e le crescenti minacce che le organizzazioni devono affrontare ogni giorno.

Autore: Marco Marra