← Cloudflare SSL/TLS / ssl / keyless-ssl

Аппаратные модули безопасности

Помимо закрытых ключей, хранящихся на диске, Keyless SSL поддерживает ключи, хранящиеся в аппаратном модуле безопасности (HSM) по стандарту PKCS#11. Keyless использует PKCS#11 для подписи и расшифровки данных без прямого доступа к закрытым ключам.

Аппаратные модули безопасности (HSM) обеспечивают более высокий уровень защиты закрытых ключей, чем их хранение непосредственно на сервере ключей. Основная задача HSM - защита закрытых ключей и выполнение таких операций, как подпись или шифрование, внутри самого модуля. Помимо контроля доступа это означает, что физическое устройство должно обладать определённой степенью защиты от вскрытия, чтобы соответствовать государственным требованиям или отраслевые нормативы, такие как FIPS 140 ↗.

Многие HSM также способны генерировать ключи и создавать криптографически безопасную случайность. Некоторые из них разработаны специально для более эффективного выполнения криптографических вычислений.

Сервер ключей взаимодействует с HSM через PKCS#11, поэтому с Keyless SSL можно использовать любой HSM, поддерживающий этот стандарт.

Подробнее об инициализации токена PKCS#11 см. в Конфигурация.

Keyless SSL совместим со следующими модулями:

• Entrust nShield Connect ↗
• Gemalto SafeNet Luna ↗
• SoftHSMv2 ↗
• YubiKey Neo ↗

Кроме того, следующие облачные решения HSM были протестированы с Keyless SSL:

• AWS CloudHSM
• Azure Dedicated HSM
• Azure Managed HSM
• Fortanix DSM
• IBM Cloud HSM
• Google Cloud HSM