YubiHSM 2

Klucz sprzętowy YubiHSM v2.2

Yubico - firma została założona w Szwecji w 2007 roku z misją uczynienia bezpiecznego logowania łatwym i dostępnym dla każdego. W 2011 roku Stina (CEO i założycielka) oraz Jakob (Chief Innovation Officer i założyciel), przenieśli się do Doliny Krzemowej, aby zrealizować swoje marzenie. W ścisłej współpracy z wiodącymi firmami stworzyli natywne wsparcie dla kluczy bezpieczeństwa (YubiKey) w głównych platformach internetowych i przeglądarkach. Yubico jest prywatną firmą, wspieraną przez renomowanych szwedzkich i amerykańskich inwestorów.

Główny wynalazek firmy to YubiKey - czyli mały klucz bezpieczeństwa zabezpieczający dostęp do dowolnej liczby systemów IT i usług online. Klucze produkowane są w Szwecji i USA, zdobyły zaufanie największych przedsiębiorstw i milionów użytkowników na całym świecie.

1. Informacje o produkcie

• bezpośrednia obsługa USB,

• HSM ogólnego przeznaczenia,

• wprowadza kryptografie asymetryczną,

• obsługa systemów Windows, Linux i Mac,

• stopień ochrony - IP68, odporność na zgniecenie, brak konieczności używania baterii, brak ruchomych części,

2. Opis produktu

YubiHSM 2 to przełomowe rozwiązanie sprzętowe służące do ochrony kluczy głównych urzędów certyfikacji przed kopiowaniem przez atakujących, złośliwe oprogramowanie i złośliwych użytkowników wewnętrznych. Oferuje doskonałą ochronę poza tym jest łatwe we wdrożeniu i atrakcyjne cenowo, dzięki czemu jest dostępne dla każdej organizacji. Oferuje wyższy poziom bezpieczeństwa dla kryptograficznego generowania kluczy cyfrowych, przechowywania i zarządzania, dla organizacji korzystających z Microsoft Active Directory Certificate Services.

Funkcje YubiHSM 2 są dostępne poprzez integrację z otwartym i kompleksowym zestawem narzędzi do tworzenia oprogramowania (SDK) dla szerokiego zakresu aplikacji komercyjnych i open source. Najczęstszym przypadkiem użycia jest sprzętowe generowanie i weryfikacja podpisów cyfrowych. W dodatkowych pojawiających się przypadkach użycia, takich jak: zabezpieczanie giełd kryptowalut i bramek IoT, to tylko kilka przykładów tego, jak najmniejszy na świecie HSM może zabezpieczyć nowoczesną infrastrukturę.

YubiHSM 2 zabezpiecza klucze kryptograficzne przez cały ich cykl życia, od bezpiecznego generowania kluczy, poświadczania, bezpiecznego przechowywania kluczy, bezpiecznej dystrybucji kluczy, bezpiecznego tworzenia kopii zapasowych kluczy aż do bezpiecznego niszczenia kluczy w razie potrzeby. Została włączona również obsługa czytnika ekranu.

Benefity:

• ekonomiczne rozwiązanie HSM (Hardware Security Module),

• łatwe wdrożenie,

• bezpieczne operacje i przechowywanie kluczy,

3. Przypadki użycia

• Zwiększenie ochrony kluczy kryptograficznych - klucz oferuje atrakcyjną opcję bezpiecznego generowania, przechowywania i zarządzania kluczami. Ochrona kluczy jest realizowana w bezpiecznym miejscu na chipie, odizolowanym od operacji na serwerze. Najczęstsze przypadki użycia obejmują ochronę klucza prywatnego urzędu certyfikacji (CA),

• Szybka integracja ze sprzętowymi rozwiązaniami Strong Security - YubiHSM 2 może być używany jako kompleksowy zestaw narzędzi kryptograficznych do operacji o niskim wolumenie w połączeniu z ogromnym zestawem aplikacji open source i komercyjnych obejmujących wiele różnych produktów i usług. Najczęstszy przypadek użycia jest sprzętowe przetwarzanie oparte na chipie do generowania i weryfikacji podpisów. Klucz obsługuje standard branżowy PKCS#11,

• Bezpieczeństwo usług certyfikacyjnych Microsoft Active Directory - urządzenie może zapewnić sprzętowe wsparcie kluczy dla Twojej implementacji PKI opartej na Microsoft. Dodatkowo nie tylko chroni klucze głównego urzędu certyfikacji, ale także chroni wszystkie usługi podpisywania i weryfikacji przy użyciu klucza prywatnego,

• Bezpieczne giełdy kryptowalut - wraz z gwałtownym rozwojem rynku kryptowalut pojawia się również duża ilość aktywów, które wymagają ochrony, aby złagodzić pojawiające się zagrożenia bezpieczeństwa. YubiHSM 2 umożliwia organizacjom silnie zabezpieczyć klucze kryptograficzne i zachować bezpieczeństwo wrażliwych i poufnych informacji finansowych,

• Ochrona środowiska IoT (Internet of Things) - to szybko rozwijający się obszar, w którym systemy często działają w nieprzyjaznych środowiskach. To sprawia, że zabezpieczanie kluczy kryptograficznych jest jeszcze ważniejsze, ponieważ organizacje muszą chronić poufne informacje. Klucze kryptograficzne są używane w wielu aplikacjach IoT, przy niewystarczających zabezpieczeniach. Deweloperzy tworzący aplikacje IoT mogą szybko włączyć wsparcie dla YubiHSM 2, aby chronić klucze kryptograficzne i uchronić krytyczne środowiska IoT przed wrogimi przejęciami.

4. Szczegóły funkcji

• Bezpieczne przechowywanie i operacje na kluczach - twórz, importuj i przechowuj klucze, a następnie wykonuj wszystkie operacje kryptograficzne na sprzęcie HSM, aby zapobiec kradzieży kluczy podczas spoczynku lub użytkowania. Chroni to zarówno przed logicznymi atakami na serwer, takimi jak exploity zero-day lub złośliwe oprogramowanie, jak i przed fizyczną kradzieżą serwera lub jego dysku twardego,

• Rozbudowane możliwości kryptograficzne - YubiHSM 2 obsługuje haszowanie, zawijanie kluczy, asymetryczne podpisywanie i deszyfrowanie, w tym zaawansowane podpisywanie przy użyciu ed25519. Zaświadczenie jest również obsługiwane dla par kluczy asymetrycznych generowanych na urządzeniu,

• Bezpieczna sesja między modułem HSM a aplikacją - integralność i prywatność poleceń i danych przesyłanych między modułem HSM a aplikacjami jest chroniona za pomocą wzajemnie uwierzytelnianego tunelu, który chroni integralność i poufność,

• Oparta na rolach kontrola dostępu do zarządzania kluczami i ich używania - wszystkie klucze kryptograficzne i inne obiekty w HSM należą do jednej lub więcej domen zabezpieczeń. Dostępy są przypisywane każdemu kluczowi uwierzytelniającemu w momencie tworzenia, co pozwala na wykonanie określonego zestawu operacji kryptograficznych lub operacji zarządzania w każdej domenie bezpieczeństwa. Administratorzy przypisują uprawnienia do kluczy uwierzytelniania na podstawie przypadków ich użycia, np. aplikacja monitorująca zdarzenia, która musi mieć możliwości odczytywania wszystkich logów audytu w HSM,

• 16 jednoczesnych połączeń - wiele aplikacji może nawiązywać sesje z YubiHSM w celu wykonywania operacji kryptograficznych. Sesje mogą być automatycznie zakończone po braku aktywności lub być długotrwałe, aby poprawić wydajność poprzez wyeliminowanie czasu tworzenia sesji,

• Możliwość udostępniania w sieci - aby zwiększyć elastyczność wdrożeń, YubiHSM 2 można udostępnić do użytku przez sieć aplikacjom na innych serwerach. Może to być szczególnie korzystne na serwerze fizycznym obsługującym wiele maszyn wirtualnych,

• Zdalne zarządzanie - łatwe zdalne zarządzanie wieloma wdrożonymi urządzeniami YubiHSM w całym przedsiębiorstwie,

• Unikalna forma "Nano", niskie zużycie energii - format "Nano" firmy Yubico pozwala na umieszczenie HSM całkowicie wewnątrz portu USB-A, dzięki czemu jest on całkowicie ukryty - żadne zewnętrzne części nie wystają z tyłu lub z przodu obudowy serwera. Zużywa minimalną ilość energii, maksymalnie 30mA, co pozwala na oszczędności w budżecie energetycznym,

• Klucz zawijania M z N, kopia zapasowa i przywracanie - tworzenie kopii zapasowych i wdrażanie kluczy kryptograficznych na wielu modułach HSM jest kluczowym elementem architektury bezpieczeństwa przedsiębiorstwa, ale udostępnienie takiej możliwości jednej osobie wiąże się z ryzykiem. YubiHSM obsługuje ustawianie reguł M z N dla klucza zawijania używanego do eksportowania kluczy do tworzenia kopii zapasowych lub transportu, dzięki czemu wielu administratorów musi zaimportować i odszyfrować klucz, aby można go było używać w dodatkowych modułach HSM. Na przykład w przedsiębiorstwie klucz prywatny głównego urzędu certyfikacji usługi Active Directory może być opakowany kluczem dla 7 administratorów (N=7), a co najmniej 4 z nich (M=4) jest wymaganych do zaimportowania i odszyfrowania klucza w nowym HSM,

• Interfejsy poprzez YubiHSM KSP, PKCS#11 i natywne biblioteki - aplikacje obsługujące kryptowaluty mogą wykorzystywać YubiHSM za pośrednictwem Key Storage Provider (KSP) firmy Yubico dla CNG firmy Microsoft lub standardowego w branży PKCS#11. Natywne biblioteki są również dostępne w systemach Windows, Linux i macOS, aby umożliwić bardziej bezpośrednią interakcję z możliwościami urządzenia,

• Rejestrowanie zdarzeń - YubiHSM wewnętrznie przechowuje dziennik wszystkich zdarzeń związanych z zarządzaniem i operacjami kryptograficznymi, które mają miejsce w urządzeniu, i ten dziennik można wyeksportować w celu monitorowania i raportowania. Każde zdarzenie (wiersz) w dzienniku jest łączone haszem z poprzednim wierszem i podpisywane, dzięki czemu można określić, czy jakieś zdarzenia zostały zmodyfikowane lub usunięte,

• Bezpośrednia obsługa USB - YubiHSM 2 może komunikować się bezpośrednio z warstwą USB bez potrzeby stosowania pośredniego mechanizmu HTTP. Zapewnia to lepszą obsługę programistom, którzy opracowują rozwiązania dla środowisk zwirtualizowanych.

5. Specyfikacja

• Obsługa systemu operacyjnego:

1. Linux - CentOS 7, Debian 8, 9, 10, Fedora 28, 30, 31, Ubuntu 1404, 1604, 1804, 1810, 1904, 1910,
2. Windows - Windows 10, Windows Server 2012, 2016, 2019,
3. macOS - 10.12 Sierra, 10.13 High Sierra, 10.14 Mojave,

• Interfejsy kryptograficzne (APIs) - Microsoft CNG (KSP), PKCS#11 (Windows, Linux, macOS), natywne biblioteki YubiHSM Core (C, python),

6. Możliwości kryptograficzne

• Haszowanie - (używane z HMAC i podpisami asymetrycznymi) - SHA-1, SHA-256, SHA-384 i SHA-512,

• RSA (Algorytm Rivesta-Shamira-Adlemana) - klucze 2048, 3072 i 4096 bitowe, podpisywanie przy użyciu: PKCS#1v1.5 i PSS, deszyfrowanie przy użyciu PKCS#1v1.5 i OAEP,

• Kryptografia krzywych eliptycznych (ECC) - krzywe: secp224r1, secp256r1, secp256k1, secp384r1, secp521r, bp256r1, bp384r1, bp512r1, curve25519. Podpisywanie: ECDSA (wszystkie oprócz curve25519), EdDSA (tylko curve25519). Deszyfrowanie: ECDH (wszystkie oprócz curve25519),

• Zawijanie kluczy - import i eksport przy użyciu NIST AES-CCM Wrap przy 128, 196 i 256 bitach,

• Losowe liczby - wbudowany generator liczb losowych (TRNG) używany do inicjowania NIST SP 800-90 AES 256 CTR_DRBG,

• Zaświadczenie - pary kluczy asymetrycznych wygenerowane na urządzeniu mogą być uwierzytelnione przy użyciu fabrycznego klucza i certyfikatu uwierzytelniającego lub przy użyciu własnego klucza i certyfikatu zaimportowanego do HSM,

7. Dodatkowe informacje

• Pojemność przechowywania - wszystkie dane przechowywane są jako obiekty. 256 miejsc na obiekty, łącznie maksymalnie 128 KB (podstawa 10). Przechowuje do 127 rsa2048, 93 rsa3072, 68 rsa4096 lub 255 dowolnego typu krzywej eliptycznej, przy założeniu, że obecny jest tylko jeden klucz uwierzytelniający. Typy obiektów: klucze uwierzytelniające (służące do nawiązywania sesji), asymetryczne klucze prywatne, nieprzezroczyste obiekty danych binarnych, np. certyfikaty x509; klucze zawinięte, klucze HMAC,

• Zarządzanie - wzajemne uwierzytelnianie i bezpieczny kanał między aplikacjami a HSM. Przywracanie klucza rozpakowania M z N za pomocą narzędzia konfiguracyjnego YubiHSM,

• Zestaw programistyczny - Zestaw Software Development Kit dla YubiHSM 2 jest dostępny do pobrania na Yubico.com, zawiera: biblioteke YubiHSM dla C i Pythona, YubiHSM Shell (Configuration CLI), moduł PKCS#11, YubiKey KSP (Key Storage Provider) do użycia z Microsoft, YubiHSM Connector, narzędzia konfiguracyjne YubiHSM, dokumentacje oraz przykłady kodu,

• Zgodność z przepisami bezpieczeństwa i ochrony środowiska: FCC, CE, WEEE, ROHS,

Powyższy wariant produktu zawiera:

• Produkt - Klucz sprzętowy YubiHSM 2

• Kolor - Czarny

• Gwarancja - 12 miesięcy

Chcesz dowiedzieć się więcej o kluczach sprzętowych YubiKey? Sprawdź linki poniżej:

Więcej informacji na stronie producenta Yubico

https://www.yubico.com/why-yubico/

https://www.yubico.com/products/

Sklep CASS-SOFTWARE jest autoryzowanym partnerem firmy Yubico.