Definición: Un módulo de seguridad de hardware (HSM) es un dispositivo informático físico "de confianza" que proporciona seguridad adicional para los datos sensibles. Este dispositivo crea, proporciona, protege y gestiona claves criptográficas para funciones como el cifrado y descifrado y la autenticación para el uso de aplicaciones, identidades y bases de datos.
Explicación del módulo de seguridad de hardware (HSM)
Un módulo de seguridad de hardware es un dispositivo físico altamente fiable y resistente a manipulaciones e intrusiones que realiza las principales operaciones criptográficas, como el cifrado, el descifrado, la autenticación, la gestión y el intercambio de claves. El único propósito de un HSM es ocultar y proteger los datos criptográficos. Disponen de un sistema operativo robusto y acceso restringido a la red a través de un cortafuegos. Los HSM deben cumplir una serie de normas y reglamentos, entre los que se incluyen los siguientes:
- Reglamento General de Protección de Datos de la Unión Europea;
- Norma de seguridad de datos PCI;
- Extensiones de seguridad del sistema de nombres de dominio;
- FIPS 140-2;
- Common Criteria.
Un HSM es un dispositivo "de confianza" porque:
- Está construido sobre hardware especializado. En laboratorios especiales, el hardware se ha probado y certificado exhaustivamente
- Dispone de un sistema operativo centrado en la seguridad
- Tiene acceso restringido a través de una interfaz de red que se rige estrictamente por normas internas
- Oculta y protege activamente los datos criptográficos.
Los HSM pueden encontrarse en tarjetas inteligentes, tarjetas dedicadas que se encuentran en el hardware (tarjetas criptográficas), dispositivos portátiles, dispositivos autónomos (appliances), dispositivos IoT instalados in situ, alojados u ofrecidos como servicio en la nube(HSM-as-a-Service).
Existen dos tipos principales de módulos de seguridad de hardware:
1. Propósito general
Los HSM de propósito general pueden utilizar los algoritmos de cifrado más comunes, como PKCS#11, CAPI, CNG y otros algoritmos comunes, que se utilizan principalmente con infraestructuras de clave pública para proteger claves y certificados digitales (que evitan que se infrinja la PKI), criptocarteras y otros datos sensibles básicos.
2. Pagos y transacciones
Los HSM de pago se utilizan principalmente en el sector bancario para proteger las transacciones de pago, que incluyen
- el uso de PIN (generación, gestión, validación y traducción del bloque PIN en transacciones realizadas en TPV y cajeros automáticos)
- la protección de las transferencias electrónicas de fondos (TEF)
- la generación de datos para bandas magnéticas y chips EMV en los procesos de producción y personalización de tarjetas
- el tratamiento de las operaciones de pago con tarjetas de débito y crédito
- la validación de tarjetas, usuarios y criptogramas durante el procesamiento de las operaciones de pago
- Emisión de credenciales de pago para tarjetas de pago y aplicaciones móviles
Los HSM de pago suelen ofrecer soporte criptográfico para las aplicaciones de pago de la mayoría de las marcas de tarjetas, y sus interfaces de interconexión suelen ser más limitadas que las de los HSM de uso general.
Ventajas del uso de HSM
Los módulos de seguridad de hardware ofrecen una serie de ventajas:
- Sistemas a prueba de manipulaciones, a prueba de manipulaciones y a prueba de manipulaciones para proporcionar sistemas físicos extremadamente seguros
- Proporcionan el mayor nivel de seguridad del mercado para datos confidenciales y claves criptográficas
- Cumplimiento de normas y reglamentos de seguridad
- Las tareas del ciclo de vida de las claves criptográficas pueden automatizarse de forma rápida y eficaz
- Las claves criptográficas se almacenan en una única ubicación en lugar de en varias.
Al ser un dispositivo físico con un potente sistema operativo y acceso limitado a la red, un HSM se convierte en la "raíz de confianza" de la infraestructura de seguridad de una organización.
