Entrust nCipher HSM HyTrust Datacard nShield

著眼疫情推動加速數位轉型 為不同IT規模把關加密金鑰

軟硬整合創HSM即服務 布局新經濟應用場域

2021-01-28
資安防護思維演進到零信任,重點在於扭轉過去預設把某些存取行為視為安全的作法,改為凡是任何存取行為預設皆須通過驗證才允許執行。

 

在人與裝置身分識別、支付與資料保護領域頗負盛名的Entrust,正可協助建立必要的身分驗證機制,並且是安全等級更高的硬體安全模組(HSM)認證與加解密的應用。Entrust最新公布加碼收購HyTrust,拓展數位安全解決方案的加密、金鑰與雲端安全政策管理能力,預期可提供企業合規性所需的資料保護服務,協助加速數位轉型。

由於在全球HSM市場將具有壟斷性的過高市占率,在歐盟要求下,知名資安品牌nCipher於2019年1月正式從Thales集團拆分出來,成為以nShield通用型硬體安全裝置為主要產品線的獨立供應商,之後再加入Entrust Datacard集團旗下。Entrust台灣區銷售總監凃敬智表示,隨著2020年9月該集團正式宣布原本來自兩家合併公司命名的「Entrust Datacard」,此後改以一致的品牌識別統一稱為Entrust,不再只是軟體研發提供PKI服務,亦納入硬體安全,此後解決方案發展勢必更加多元。

「既有的Entrust本就依據產品線切分,旗下的Entrust、DataCard、nCipher各有擅長領域,如今則進一步朝向整合運行發展,例如DataCard過去HSM合作夥伴為Gemalto旗下的SafeNet,併購nCipher之後勢必會改採用自家產品線。」凃敬智說。

專注於發展通用型HSM技術

眾所皆知,PKI技術發展已相當久,不論銀行、製造等產業多數是基於軟體實作。至於傳統信用卡交易安全等級要求相當高,必須符合Visa、Master國際組織提出的規範,其HSM硬體安全模組設計理念與發展方向主要以合規為考量,而非廣大應用市場需求。因此市場自然形成了專門負責銀行的支付型HSM解決方案,至於其他應用採以PKI提高安全等級的硬體設備,則稱之為通用型HSM。

即便如此,不代表通用型HSM無法進入支付領域,差別只在於是否須通過發卡組織驗證。凃敬智指出,安全水準並非只靠主觀認定,經過國際具公信力的組織認定更具說服力,而支付型與通用型的HSM原理皆相同,只是驗證單位不同,支付型必須符合Visa、Master提出的規範,通用型常見的則是符合資安共同準則(Common Criteria),分屬兩個解決方案才能符合實際應用所需。 以目前主流的網路銀行來看,前端應用程式多數採Java、Python等開放程式語言撰寫,其所介接的HSM技術並不適用支付型專屬方案,只有通用型HSM才可因應,可發揮在線上支付、物聯網等應用場域。

「前面提到的支付型HSM是依照Visa、Master制定的規範設計相關機制,專注在提供信用卡業務領域,至於其他領域,則全數可採通用型HSM建立安全防護。預計2022年Visa、Master將推動新標準,近兩年所有銀行的支付型HSM應該都已經更換,或者是升級韌體版本。」凃敬智說。銀行業走向開放之路後,可預見的未來通用型HSM市場將遠大於支付型HSM,這也是歐盟出手保護通用型HSM市場不被壟斷的因素之一。

保障高權限金鑰免遭竊取

當營運業務開始進行數位化之後,依據顧客喜好開始提出全新商業模式,由部署在雲端平台上的應用程式來提供服務,這類有別於以往自建部署的應用系統,即為Entrust可使上力之處。

凃敬智強調,HSM安全模組為硬體式設計,具有防竄改的特性,可提供獨立於主機環境之外的安全強化,用來取代安全性較低的軟體加密機制,為關鍵系統的加密金鑰提供保護,同時確保金鑰的使用符合政策規範要求。HSM之所以安全,主要是硬體設計如同黑盒子,必須透過符合安全規範的API才允許連接,甚至設備本身具備安全等級更高的自我毀滅功能,內嵌電源偵測感知器,一旦發現中斷則觸發損毀硬碟。只是多數IT環境可能會出現停電或搬移,因而少見被啟用,除非是安全等級極端嚴謹的應用場域。

PKI技術過去主要是以軟體來實作,把金鑰存放在主機系統環境或暫存在記憶體,即便是加密演算法技術持續提升讓攻擊者難以破解,仍舊得搭配金鑰管理機制,否則就算演算法再強大,攻擊者亦可轉向盜取金鑰,以合法手段解密竊取機密資產。從近年實際資安事件可發現,多數攻擊者並未採用高超技術破解加密即可達到目的,假設Oracle或SQL Server的加密功能,金鑰就存放在DBA管理權限下的資料夾,意味著攻擊者只要成功竊取DBA權限,即可掌握金鑰。因此高權限帳戶更有必要嚴加保護,此時即為HSM硬體設備可協助。

提供HSM即服務擴展應用場域

Entrust旗下的nShield HSM家族產品線,包含nShield Solo PCI介面卡開發套件、nShield Connect獨立硬體設備、nShield Edge透過USB介面傳輸,功能皆相同,其中本土企業採用較多的是nShield Connect,例如醫療院所建立電子病歷必要的時戳,避免惡意人士欲篡改電子病歷而先竊取金鑰,令其無法得逞,即可確保不可否認性。

「HSM獨立硬體設備提供方式較特別,少有客戶為單獨採購,大多需求來自整體應用場域中須建立防護機制,因此Entrust在全球推動策略性技術夥伴計畫,例如Palo Alto Networks方案中SSL加解密即是採用Entrust的技術執行處理。針對台灣市場,將著眼於雲端安全、數位憑證、支付安全,協同代理商精誠資訊共同推廣。」凃敬智說。

Entrust台灣區銷售總監凃敬智指出,既有的Entrust本就依據產品線切分,旗下的Entrust、DataCard、nCipher各有擅長領域,如今則朝向整合運行發展,在雲端、物聯網、區塊鏈、支付等應用場域,HSM技術皆可協助強化安全。

對發展已相當成熟的加密技術,Entrust希望提供的是一台設備即可應用在多種應用場域,讓加密機制的金鑰與演算法皆可採用HSM來保護。過去應用系統通常採用不同程式語言撰寫而成,再各自搭配專屬的HSM,如今藉由開放介面整合建構創新應用模式儼然成為趨勢,HSM機制亦有機會實現以資源池的概念來運用。

凃敬智進一步說明,現代應用開發習慣以RESTful API整合而成,讓HSM得以有機會介接不同功能性的系統,以國際間成功案例的渣打銀行來看,並非每個分支單位都自行採購HSM,而是由集中部署再提供服務,如此一來即可降低控管複雜度。「展望未來,雲端服務絕對是主流,雖然目前發展速度不快,但是我們發現,如果應用場景是以更有效率、成本更低為核心考量,採用雲端服務將會成為最終選擇。」

Entrust除了提供既有的自建部署產品,亦有提供HSM as a Service,現階段已經在英國與美國的雲端資料中心中建置HSM,讓客戶以訂閱模式採用,抑或是各地區的業者自行建置HSM解決方案協助更多中小型企業,在雲端服務應用場景中增強防護能力。

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!