YubiHSM 2 v2.4

Для чого цей ключ

YubiHSM 2 — це USB-HSM для компаній, де криптографічні ключі не можна просто зберігати на сервері: PKI, центри сертифікації, підпис сертифікатів, підпис коду, шифрування сервісів. Його купують, щоб не покладатися лише на софт і права в ОС. Пристрій виступає апаратною опорою для операцій підпису та шифрування в інфраструктурі.

Ізольовані криптографічні ключі

Криптографічні ключі можна створювати, імпортувати та зберігати прямо в YubiHSM 2, а всі операції виконуються всередині пристрою — це знижує ризик крадіжки ключів як при атаці на сервер (шкідливе ПЗ, експлуатація вразливостей), так і при фізичному вилученні сервера. Сервер отримує результат операції (підпис/шифрування), а не самі дані ключа.

Криптографія, на якій будується прод

YubiHSM 2 підтримує операції, необхідні в enterprise-сценаріях: хешування, wrapping ключів, асиметричний підпис і розшифрування, включно з розширеними сценаріями підпису на ed25519. Також підтримується attestation для асиметричних ключових пар, згенерованих на пристрої.

Доступ за ролями та доменами

Всередині є security domains: ключі та об’єкти належать доменам, а права призначаються для кожного authentication key — можна визначити “хто підписує”, “хто адмініструє”, “хто читає аудит”.
Додатково є tamper-evident audit log: журнал подій можна експортувати для моніторингу та звітності, щоб були видимі будь-які зміни.

Інтеграції та підключення

YubiHSM 2 розрахований на роботу у великій інфраструктурі: до 16 паралельних підключень, є варіанти, коли HSM можна зробити доступним для кількох систем (в т.ч. віртуальних машин). Інтеграція будується через звичні інтерфейси: PKCS#11, YubiHSM KSP для Microsoft CNG, а також нативні бібліотеки для Windows/Linux/macOS. Усе це працює без самописних «костилів».

Оновлення криптобібліотеки

У прошивці v2.4 оновлено криптобібліотеку для операцій RSA та ECC (в т.ч. підпис і розшифрування): це внутрішня розробка Yubico, та сама бібліотека, що використовувалась у релізі YubiKey 5.7.

Бекап і перенесення ключів за правилом M-of-N

У YubiHSM 2 можна задати правило M-of-N для wrap-key: щоб відновити ключ на іншому HSM, потрібна участь кількох адміністраторів (кворум), а не одного власника бекапу.

Audit Logging

YubiHSM 2 веде внутрішній журнал управлінських дій і операцій. Лог можна вивантажувати для моніторингу та звітності, а записи пов’язані хеш-ланцюгом, тому будь-які спроби підчистити сліди стають помітними.

Форм-фактор Nano + новинки v2.4

Форм-фактор Nano — це дійсно компактний HSM, який акуратно підключається до USB-A і не заважає у сервері.
У v2.4 додали важливі для enterprise речі:

• Бекапи з асиметричною криптографією — повноцінний і безпечний спосіб створювати резервні копії з асиметричним шифруванням, у тому числі для передачі через інтернет.

• BYOK (Bring Your Own Key) — для використання хмарних сервісів із власними ключами. Дає контроль у multi-cloud сценаріях і відповідає вимогам комплаєнсу.

Захищена сесія

Під час роботи з YubiHSM 2 обмін між застосунком і пристроєм відбувається через захищену сесію з взаємною аутентифікацією. Це знижує ризик перехоплення або підміни команд і відповідей — особливо коли HSM використовується в продакшені й до нього звертаються сервіси автоматично.

Окремий плюс для адміністраторів

Для адміністрування YubiHSM 2 можна використовувати YubiKey із застосунком YubiHSM Auth: на ключі зберігаються дані, необхідні для встановлення захищеної сесії з HSM. Це зручно тим, що секрети не зберігаються в конфігах або скриптах на сервері — доступ прив’язаний до фізичного YubiKey конкретного адміністратора.

Де застосовують YubiHSM 2

YubiHSM 2 зазвичай обирають для задач, де важливі апаратний захист криптографічних ключів та безпечне виконання критичних операцій. Найчастіше всього його використовують для захисту ключової інфраструктури PKI/CA, інтеграції із системами через PKCS#11 та інші стандартні інтерфейси роботи із Microsoft AD CS, підвищення безпеки на криптобіржах та фінтех-сервісах, а також для захисту ключів на IoT-інфраструктурі та зв’заних із нею пристроях.