← Cloudflare SSL/TLS / ssl / keyless-ssl

Hardwarové bezpečnostní moduly

Kromě soukromých klíčů uložených na disku podporuje Keyless SSL i klíče uložené v hardwarovém bezpečnostním modulu (HSM) prostřednictvím standardu PKCS#11. Keyless používá PKCS#11 k podepisování a dešifrování dat, aniž by měl přímý přístup k soukromým klíčům.

Hardwarové bezpečnostní moduly (HSM) poskytují vyšší úroveň ochrany vašich privátních klíčů, než jaké dosáhnete jejich přímým uložením na klíčovém serveru. Hlavním úkolem HSM je bezpečně uchovávat privátní klíče a interně provádět operace, jako je podepisování nebo šifrování. Kromě řízení přístupu to znamená, že fyzické zařízení musí nabízet určitou míru odolnosti proti neoprávněné manipulaci, aby vyhovovalo vládním nebo odvětvové předpisy, jako je FIPS 140 ↗.

Řada HSM dokáže také generovat klíče a produkovat kryptograficky bezpečnou náhodnost. Některé jsou navrženy přímo pro efektivnější provádění kryptografických výpočtů.

Key server komunikuje s HSM prostřednictvím PKCS#11, takže s Keyless SSL lze použít jakýkoli HSM podporující tento standard.

Další podrobnosti o inicializaci tokenu PKCS#11 najdete v Konfigurace.

Keyless SSL je interoperabilní s následujícími moduly:

• Entrust nShield Connect ↗
• Gemalto SafeNet Luna ↗
• SoftHSMv2 ↗
• YubiKey Neo ↗

Kromě toho byly s Keyless SSL otestovány následující cloudové nabídky HSM:

• AWS CloudHSM
• Azure Dedicated HSM
• Azure Managed HSM
• Fortanix DSM
• IBM Cloud HSM
• Google Cloud HSM