O Cloud Hardware Security Module (HSM) é um service de criptografia de hardware baseado em cloud, construído sobre módulos de segurança de hardware certificados pela State Cryptography Administration ou validados conforme FIPS 140-3 Level 3. Você gerencia chaves criptográficas, executa operações de criptografia e descriptografia e atende a requisitos de conformidade regulatória sem precisar manter hardware físico de HSM.
Visão geral
O Cloud HSM utiliza módulos de segurança de hardware certificados pela State Cryptography Administration ou validados conforme FIPS 140-3 Level 3. Por meio de tecnologia de virtualização, o Cloud HSM ajuda você a cumprir requisitos regulatórios de segurança de dados e a proteger a privacidade dos dados do seu negócio na cloud. Com o Cloud HSM, você gerencia chaves com segurança e utiliza diversos algoritmos de criptografia para realizar operações confiáveis de criptografia e descriptografia. O Cloud HSM auxilia nas seguintes operações criptográficas:
Geração, armazenamento, importação, exportação e gerenciamento de chaves simétricas e pares de chaves assimétricas.
Criptografia e descriptografia de dados com algoritmos simétricos e assimétricos.
Cálculo de resumos de mensagens e códigos de autenticação de mensagens baseados em hash (HMACs) usando funções de hash.
Assinatura digital de dados e verificação de assinaturas.
Geração de dados aleatórios com segurança criptográfica.
O Cloud HSM oferece services de consultoria técnica para inicialização de dispositivos, configuração de cluster, monitoramento e integração de SDK, além de fornecer certificados de certificação de product de criptografia comercial para dispositivos HSM. No entanto, não fornece documentação detalhada de agências terceirizadas de avaliação de segurança de aplicações de criptografia comercial. Para mais informações, entre em contato com o service de avaliação de criptografia comercial da cloud pública da Alibaba Cloud.
Dispositivos HSM
O Cloud HSM é um recurso virtualizado provisionado a partir do módulo criptográfico de hardware de um dispositivo HSM. Ele possui o mesmo nível de conformidade do módulo criptográfico de hardware e realiza criptografia e descriptografia de dados. O Cloud HSM disponibiliza módulos de segurança virtuais (VSMs) e HSMs dedicados. Para obter parâmetros detalhados dos dispositivos HSM, consulte {{XREF_0}}.
Módulo de segurança virtual (VSM)
Implantado em ambiente multitenant, onde recursos de hardware são compartilhados entre vários usuários. Os VSMs atendem aos requisitos da PRC Cryptography Law e à certificação FIPS 140-3 Level 3. São adequados para pequenas e médias empresas ou cenários com requisitos moderados de desempenho. Tipos de VSM suportados:
VSMs na China continental: VSM geral compatível com SM.
Fora da China continental: VSM geral compatível com FIPS.
HSM dedicado
Recursos de hardware destinados exclusivamente a um único tenant. Essa exclusividade garante alto throughput e baixa latência. Oferece o mais alto nível de segurança física com design resistente a violações, em conformidade com FIPS 140-3. Recomendado para grandes empresas, instituições financeiras ou cenários que exigem os maiores níveis de segurança e desempenho. Disponibiliza HSMs fisicamente dedicados e certificados por organizações autorizadas (State Cryptography Administration/NIST (FIPS 140-3 Level 3)/PCI HSM v3).
Casos de uso
-
Migração de cargas de trabalho de HSM on-premises para a cloud
Ao migrar cargas de trabalho de HSM do data center para o Elastic Compute Service (ECS), substitua o hardware local pelo Cloud HSM para operações de criptografia, descriptografia, assinatura e verificação de assinatura, protegendo assim seus dados na cloud.
-
Fornecimento de criptografia e descriptografia em conformidade para aplicações
Utilize o Cloud HSM com o Alibaba Cloud Dedicated KMS para criptografar e descriptografar dados sensíveis de aplicações. Combine-o também com aplicações de criptografia de banco de dados para proteger dados de bancos de dados, ou com aplicações de criptografia de arquivos para proteger o armazenamento de arquivos.
-
Offloading de SSL para sites HTTPS
Os GVSMs na China continental suportam offloading de SSL, o que reduz a carga da CPU do servidor e melhora os tempos de resposta do cliente. O Cloud HSM também gera chaves privadas de certificados, fortalecendo a proteção dessas chaves e evitando vazamentos nos servidores.
-
Proteção de chaves privadas de certificados
Para certificados digitais emitidos por autoridades certificadoras (CAs), armazene as chaves privadas nos HSMs e utilize-os para operações de assinatura, mantendo suas chaves privadas seguras.
-
Integração com Oracle TDE
O Cloud HSM integra-se a bancos de dados Oracle para oferecer Transparent Data Encryption (TDE). O TDE armazena chaves de criptografia em HSMs externos ao banco de dados e as utiliza para criptografar dados sensíveis nos arquivos do banco, garantindo a segurança dessas informações.
-
Criptografia de dados sensíveis
Nos setores de serviços públicos, e-commerce e financeiro, integre o Cloud HSM às suas aplicações para criptografar ou armazenar dados sensíveis de usuários, atendendo aos requisitos de segurança e conformidade.
Benefícios
-
Conformidade regulatória
Os VSMs na China continental são certificados pela State Cryptography Administration e cumprem especificações técnicas da indústria de criptografia, incluindo GM/T 0028-2014 (Security Requirements for Cryptographic Modules) e GM/T 0030-2014 (Specification for Server Cryptographic Machine).
Os VSMs fora da China continental possuem validação FIPS 140-3 Level 3.
-
Interfaces e algoritmos de criptografia padrão de mercado
O Cloud HSM suporta uma ampla variedade de interfaces e algoritmos de criptografia padrão de mercado. Para mais detalhes sobre as interfaces e algoritmos suportados, consulte {{XREF_2}}.
-
Gerenciamento seguro de chaves
O gerenciamento de dispositivos e o gerenciamento de chaves são separados. A Alibaba Cloud gerencia apenas os dispositivos de hardware HSM, incluindo o monitoramento de métricas de disponibilidade e a ativação de services. As chaves são gerenciadas inteiramente pelos clientes. A Alibaba Cloud não tem nenhuma forma de acessar as chaves dos clientes.
-
Dimensionamento elástico
Ao utilizar o Cloud HSM, ajuste flexivelmente a quantidade de HSMs implantados conforme a necessidade real e use balanceamento de carga para atender a diferentes demandas de criptografia e descriptografia.
-
Alta disponibilidade de cluster
O Cloud HSM suporta gerenciamento de clusters. Adicione múltiplos HSMs a um cluster para aumentar rapidamente a alta disponibilidade dos HSMs, reduzindo riscos de interrupção de service e perda de dados críticos.
-
Facilidade de uso na cloud
Com o Cloud HSM, implante HSMs na VPC especificada e gerencie-os e acesse-os por endereços IP privados, integrando-se perfeitamente ao seu negócio em servidores na cloud.
Regiões e zonas suportadas regiões
-
China continental
Region
Region ID
Zone
China (Hangzhou)
cn-hangzhou
Zone A, Zone G
China (Shanghai)
cn-shanghai
Zone A, Zone B, Zone F
China (Beijing)
cn-beijing
Zone A, Zone F, Zone K
China (Shenzhen)
cn-shenzhen
Zone A, Zone E
China (Chengdu)
cn-chengdu
Zone A, Zone B
China (Heyuan)
cn-heyuan
Zone A, Zone B
-
Fora da China continental
Region
Region ID
Zone
China (Hong Kong)
cn-hongkong
Zone B, Zone C
Singapore
ap-southeast-1
Zone A, Zone B
Malaysia (Kuala Lumpur)
ap-southeast-3
Zone A, Zone B
SAU (Riyadh - Partner Region)
me-central-1
Zone A, Zone B
Indonesia (Jakarta)
ap-southeast-5
Zone A, Zone B
Conceitos principais
-
Instância de HSM
Uma instância de HSM é um recurso virtualizado provisionado a partir do módulo criptográfico de hardware de um dispositivo HSM. As instâncias de HSM possuem a mesma conformidade do módulo criptográfico de hardware e implementam todos os recursos do Cloud HSM, incluindo criptografia e descriptografia de dados.
-
Cartão de autenticação (USB Key)
Identificador exclusivo de uma instância do Cloud HSM, utilizado com a ferramenta de gerenciamento de cliente HSM para gerenciar chaves. Disponível apenas para HSMs na China continental.
-
Service de cluster
O Cloud HSM oferece services de cluster. Ao agrupar instâncias de HSM em diferentes zonas da mesma região que atendem à mesma aplicação, você as gerencia centralmente e obtém alta disponibilidade, balanceamento de carga e escalabilidade horizontal para operações criptográficas. Um cluster inclui uma instância mestre de HSM e várias instâncias não mestres. Instâncias de HSM na mesma zona compartilham a mesma sub-rede.