YubiHSM 2 v2.4

Для чего этот ключ

YubiHSM 2 — это USB-HSM для компаний, где криптографические ключи нельзя хранить просто на сервере: PKI, центры сертификации, подпись сертификатов, подпись кода, шифрование сервисов. Его приобретают для того, чтобы не полагаться только на софт и права в ОС. Устройство выступает аппаратной опорой для операций подписи и шифрования в инфраструктуре.

Изолированные криптографические ключи

Криптографические ключи можно создавать, импортировать и хранить прямо в YubiHSM 2, а все операции выполняются внутри устройства — это снижает риск кражи ключей как при атаке на сервер (вредоносное ПО, эксплуатация уязвимостей), так и при физическом изъятии сервера. Сервер получает результат операции (подпись/шифрование), а не сами данные с ключа.

Криптография, на которой строится прод

YubiHSM 2 поддерживает операции, которые нужны в enterprise-сценариях: хэширование, wrapping ключей, асимметричную подпись и расшифрование, включая расширенные сценарии подписи на ed25519. Также поддерживается attestation для асимметричных ключевых пар, сгенерированных на устройстве.

Доступ по ролям и доменам

Внутри есть security domains: ключи и объекты принадлежат доменам, а права назначаются для каждого authentication key — можно назначить “кто подписывает”, “кто администрирует”, “кто читает аудит”.
Плюсом также выступает tamper-evident audit log: журнал событий можно экспортировать для мониторинга и отчётности, чтобы было видно любые изменения.

Интеграции и подключение

YubiHSM 2 рассчитан на работу в большой инфраструктуре: до 16 параллельных подключений, есть варианты, когда HSM можно сделать доступным для нескольких систем (в т.ч. виртуалок). Интеграция строится через привычные интерфейсы: PKCS#11, YubiHSM KSP для Microsoft CNG, а также нативные библиотеки для Windows/Linux/macOS. Все это работает без самописных костылей.

Crypto Library Update

В прошивке v2.4 обновили криптобиблиотеку для операций RSA и ECC (в т.ч. подпись и расшифрование): это внутренняя разработка Yubico, та же библиотека, что использовалась в релизе YubiKey 5.7.

Бэкап и перенос ключей по правилу M-of-N

В YubiHSM 2 можно задать правило M-of-N для wrap-key: чтобы восстановить ключ на другом HSM, требуется участие нескольких администраторов (кворум), а не один владелец бэкапа.

Audit Logging

YubiHSM 2 ведёт внутренний журнал управленческих и операций. Лог можно выгружать для мониторинга и отчётности, а записи связаны хэш-цепочкой, поэтому любые попытки подчистить следы становятся заметны.

Форм-фактор Nano + новинки v2.4

Форм-фактор Nano — это реально компактный HSM, который аккуратно сидит в USB-A и не мешает в сервере.
В v2.4 добавили важные для enterprise вещи:

• Бэкапы с асимметричной криптографией — нормальный, безопасный способ делать резервные копии с ассиметричным шифрованием. В том числе для передачи через интернет.

• BYOK (Bring Your Own Key) — когда вы хотите использовать облачные сервисы. Хранение и управление собственными ключами для multi-cloud сценариев с упором на контроль и требования комплаенса.

Защищённая сессия

При работе с YubiHSM 2 обмен между приложением и устройством идёт через защищённую сессию с взаимной аутентификацией. Это снижает риск перехвата или подмены команд и ответов во время работы — особенно когда HSM используется в проде и к нему обращаются сервисы автоматически.

Отдельный плюс для админов

Для администрирования YubiHSM 2 можно использовать YubiKey с приложением YubiHSM Auth: на ключе хранятся данные, которые нужны для установления защищённой сессии с HSM. Это удобно тем, что секреты не лежат в конфиге или скриптах на сервере — доступ привязан к физическому YubiKey конкретного администратора.

Где применяют YubiHSM 2

YubiHSM 2 обычно выбирают для задач, где важны аппаратная защита криптографических ключей и безопасное выполнение критичных операций. Чаще всего его используют для защиты ключевой инфраструктуры PKI/CA, интеграции с системами через PKCS#11 и другие стандартные интерфейсы, работы с Microsoft AD CS, повышения безопасности в криптобиржах и финтех-сервисах, а также для защиты ключей в IoT-инфраструктуре и связанных с ней устройствах.