EenHSM(Hardware Security Module) is het fysieke Herzstück elke veilige Zahlungssystems: is een dedizierter Hardwareprozessor, de kryptografische Operationen in een manipulationssicheren Omgeving ausführt. In het Kontext van Betalingen en PCI DSS is het HSM de Komponente, de sicherstellt, dat kryptografische Sleutel, de Grundlage de Datenverschlüsselung, nie in het Klartextformat op een allgemeinen Server of in het Speicher existieren. Het Verständnis de Funktionsweise een HSM hilft te verstehen, Waarom een Token-Vault met dediziertem HSM een wirklich anderes Sicherheitsniveau biedt als een softwarebasierte Tokenisierungslösung.
Wat is een HSM en Hoe funktioniert
Een Hardware Security Module is een physisches Gerät, in de Regel in Form een PCI-Erweiterungskarte of een Netzwerkgeräts, het entwickelt werd, om:
- Kryptografische Sleutel veilig te generieren, te opslaan en te verwalten
- Kryptografische Operationen (Versleuteling, Entschlüsselung, Signierung, Verifizierung) innerhalb een veilige Hardwareumgebung auszuführen
- Fysieke Aanvallen te erkennen en te reagieren, in het Falle een Eingriffs löscht het Gerät automatisch de gespeicherten Sleutel (Tamper-Evidence)
- Een manipulationssichere Omgeving voor kryptografische Operationen te bieden, de niet van Software außerhalb van de HSM einsehbar of abgefangen worden kan
In een Token-Vault is het HSM de Ort, naar het de Master-Verschlüsselungsschlüssel (MEK) opgeslagen is. Deze Sleutel entschlüsselt de in het Vault gespeicherten PANs voor Operationen, de dies vereisen (z.B. Auflösung een Tokens voor een Transactie beim Acquirer). Da de MEK in het HSM opgeslagen is en het Gerät nie verlässt, kan een Aanvaller, de Toegang naar het Vault-Server ontvangt, de gespeicherten Gegevens niet entschlüsseln, zonder physischen Toegang naar het HSM te hebben.
FIPS 140-2 en FIPS 140-3: Waarom HSM-Zertifizierungen belangrijk zijn
FIPS 140-2(Federal Information Processing Standaard Publication 140-2) is de US-Standaard voor kryptografische Hardwaremodule, de van het NIST (National Institute of Standaarden and Technology) beheert wordt. Het definieert vier Sicherheitsstufen voor HSMs:
- Level 1: Fundamentele Sicherheitsanforderungen voor kryptografische Algorithmen
- Level 2: Physischer Bewijs van Manipulationsversuchen (Tamper-Evidence)
- Level 3: Fysieke Manipulationssicherheit en automatische Schlüssellöschung bij Eingriff
- Level 4: Maximale Beveiliging: Bescherming voor physischen Aanvallen in Omgevingen met niedrigem Physikalschutz (selten voor kommerzielle Betalingsapplicaties gebruikt)
Voor Betalingsapplicaties en PCI DSS-konforme Token-Vaults isFIPS 140-2 Level 3de branchenübliche Standaard. Een HSM op desem Level gewährleistet, dat selbst in het Falle een physischen Kompromisses van de Geräts de kryptografischen Sleutel automatisch gelöscht worden, bevor u extrahiert worden kunnen. PCI Proxy EU gebruikt in seinem Token-Vault toegewijde HSMs met FIPS 140-2 Level 3-Certificering.
Dediziertes HSM vs. softwarebasierte Tokenisatie
Niet Alle Tokenisierungslösungen gebruiken een dediziertes HSM. Sommige PSPs implementeren softwarebasierte Tokenisatie, bij de de Verschlüsselungsschlüssel op een allgemeinen Server opgeslagen is, möglicherweise in een veilige Enklave (Hoe Intel SGX) of in een Cloud KMS (Key Management Service). Deze Aanpakken bieden een angemessenes Schutzniveau voor viele Anwendungsfälle, maar niet het fysieke Sicherheitsniveau een FIPS 140-2 Level 3 gecertificeerde HSM.
Voor Handelaar, de een Level 1 PCI DSS-konformes Audit benötigen of in hochregulierten Sektoren tätig zijn (Finanzdienstleistungen, Gezondheidszorg, Regierung), is een Token-Vault met dediziertem HSM de Goldstandard. biedt de beste Verteidigung tegen zowel logische als ook fysieke Aanvallen en maakt mogelijk een robuste Verteidigungsstrategie bij een PCI-Audit.
Veelgestelde vragen
Benötige ik als Handelaar een eigenes HSM voor de PCI DSS-Naleving?
Nein. Als Handelaar moeten U geen eigenes HSM besitzen of verwalten: De Gebruik een gecertificeerde PCI DSS Level 1 Tokenisierungsdienstes Hoe PCI Proxy EU, de een dediziertes HSM in zijn Infrastructuur einsetzt, is ausreichend. Het Vorhandensein een HSM in het Token-Vault van de Anbieters wordt in de AOC (Attestation of Naleving) gedocumenteerd, de U het Acquirer vorlegen kunnen.
Wat is de Unterschied tussen een HSM en een TPM (Trusted Platform Module)?
Een TPM is een op een Standaard-Motherboard integrierter Chip, de voor fundamentele Plattformauthentifizierung en Schlüsselverwaltung op PC-Ebene ausgelegt is. Een HSM is een separates, dediziertes Gerät voor Hochleistungs-kryptografische Operationen in Bedrijfs-- en Zahlungsumgebungen. HSMs ondersteunen een viel breiteres Spektrum naar kryptografischen Algorithmen, höhere Transaktionsraten en zijn voor de Operatie in veilige Rechenzentren ausgelegt, niet voor Consumer-Hardware.
Hoe kan ik überprüfen, ob een Token-Vault-Aanbieder wirklich een FIPS 140-2-zertifiziertes HSM gebruikt?
Fordern U de AOC (Attestation of Naleving) van de Anbieters naar en prüfen U De Abschnitt te kryptografischen Hardwareimplementierungen. Een seriöser Aanbieder moet de Modelle de verwendeten HSMs angeben en bestätigen kunnen, dat Deze op de NIST CMVP-Validierungsliste erscheinen. PCI Proxy EU stelt Deze Documentatie op Verzoek naar de Verfügung.
Möchten U een Token-Vault met dediziertem FIPS 140-2 Level 3 HSM voor Uw PCI-Naleving gebruiken?Ontdek PCI Proxy EU.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op