¿Cuáles son las diferencias entre TPM y HSM?

26

TPM (Trusted Platform Module) y HSM (Hardware Security Module) se consideran como un cryptoprocessor, pero ¿cuáles son las diferencias exactamente?

¿Una de ellas tiene más ventajas que otra?

    
pregunta Ali 07.05.2015 - 21:40
fuente

5 respuestas

27
  

Módulos de plataforma de confianza

     

Un Trusted Platform Module (TPM) es un chip de hardware en la placa base de la computadora que almacena datos criptográficos.   Claves utilizadas para el cifrado. Muchas computadoras portátiles incluyen un TPM, pero si   El sistema no lo incluye, no es factible agregar uno. Una vez   habilitado, el Módulo de plataforma confiable proporciona un cifrado completo del disco   capacidades Se convierte en la "raíz de la confianza" para que el sistema proporcione   Integridad y autenticación al proceso de arranque. Se mantiene duro   unidades bloqueadas / selladas hasta que el sistema complete una verificación del sistema,   o verificación de autenticación.

     

El TPM incluye una clave RSA única grabada en ella, que se usa para   Encriptación asimétrica. Adicionalmente, puede generar, almacenar, y   proteger otras claves utilizadas en el proceso de cifrado y descifrado.

     

Módulos de seguridad de hardware

     

Un módulo de seguridad de hardware (HSM) es un dispositivo de seguridad que puede agregar a un sistema para administrar, generar y   almacenar de forma segura las claves criptográficas.

     

Los HSM de alto rendimiento son dispositivos externos conectados a una red   utilizando TCP / IP. Los HSM más pequeños vienen como tarjetas de expansión que instala dentro de   un servidor, o como dispositivos se conectan a los puertos de la computadora.

     

Una de las diferencias notables entre los dos es que los HSM son   Dispositivos extraíbles o externos. En comparación, un TPM es un chip integrado   en la placa base. Puede agregar fácilmente un HSM a un sistema o un   red, pero si un sistema no se enviaba con un TPM, no es factible   añadir uno más tarde. Ambos proporcionan capacidades de cifrado seguras al almacenar   y usando claves RSA.

Fuente: enlace

    
respondido por el user45475 07.05.2015 - 22:16
fuente
7

Lo siento, pero creo que hay algunas lagunas en esta conversación:

  1. Los TPM no se pueden agregar más tarde : falso. Muchas placas base modernas incluyen un encabezado al que se puede agregar un TPM después del hecho. Visite Amazon y vea las tarjetas de los módulos TPM para MSI, Asus y otras placas base
  2. Los HSM normalmente se eliminan o se conectan a la red : Falso. Los HSM se pueden integrar en una gama de hardware desde chasis de montaje en rack compatibles con FIPS 140-3, a tarjetas PCI-E, a llaves USB, a tarjetas MicroSD

La diferencia principal está en uso. Los TPM están diseñados para proporcionar una raíz de confianza de hardware para habilitar la informática segura al proporcionar un enclave de almacenamiento de claves seguro con funciones criptográficas mínimas, principalmente en el espacio de verificación de firma y firma. Algunos describieron los casos de uso principales: almacenamiento de claves de cifrado de unidades y validación de firmas en cargadores de arranque, kernels y controladores de dispositivos. Tenga en cuenta que gran parte de esto se puede lograr sin un TPM (arranque seguro con biografías que sean compatibles con WHQL de Windows, incluidas las claves de Microsoft predeterminadas), cifrado de disco basado en contraseña. Los TPM suelen costar entre $ 7 USD (como parte de la lista de materiales para una tabla personalizada) y $ 15 USD (como módulo conectable para después de la modificación del mercado). Los TPM pueden incluir la funcionalidad de lector de tarjeta inteligente / tarjeta inteligente virtual.

Los HSM normalmente tienen dos funciones primarias estrechamente relacionadas. La primera función es funciones criptográficas habilitadas / aceleradas por hardware que incluyen cifrado, descifrado, generación de claves, funciones PRNG y funciones relacionadas de validación de firma / firma. Por lo general, estos son acelerados por hardware mediante FPGA o ASIC (o una combinación). La segunda función generalmente es un lector de tarjetas inteligentes con / sin tarjeta virtual para el almacenamiento de claves / certificación con protecciones mejoradas basadas en PIN. La integración de los dos proporciona un modelo poderoso para usar hardware para generar un certificado no exportable integrado en la tarjeta inteligente virtual. Los HSM pueden correr desde decenas de miles de dólares (para soluciones basadas en chasis) a miles de dólares (para tarjetas PCIE) a cientos de dólares (USB) a 10s de dólares (para versiones H-SDC).

En mi experiencia, los TPM se utilizan principalmente para el almacenamiento de claves, los HSM se utilizan principalmente para la criptografía acelerada por hardware con almacenamiento de claves.

    
respondido por el Paul Vilevac 30.05.2018 - 00:57
fuente
2
Los

TPM son partes especificadas con mucha precisión, según la función y el nivel de seguridad que proporcionan ( enlace ).

Tiene una función fija, es un chip de seguridad bastante económico y de bajo costo (menos de $ 2.00). El propósito es servir como “raíz de confianza” en una plataforma. También están probados y certificados para soportar un nivel definido de ataques de canal lateral / observación, ataques semiinvasivos / de falla e incluso ataques invasivos.

En contraste, el término HSM simplemente dice "módulo de seguridad de hardware" y esto conduce a una ambigüedad y variedad de interpretaciones.

Tradicionalmente, un módulo HSM es un módulo optimizado para generar claves y certificados AES, RSA o ECC con un rendimiento muy alto. Imagine que ejecuta un servidor web que podrá establecer rápidamente cientos o miles de sesiones https (SSL / TLS). Esto requiere un rendimiento criptográfico masivo (es decir, generación de claves). Los HSM hacen esto - ¡muy rápido! No están necesariamente bien protegidos contra ataques, ya que generalmente se operan en un entorno seguro. Sin embargo, por lo general, se empaquetan de manera que proporcionen resistencia y evidencia de manipulación indebida. Gran diferencia con los TPM: estos módulos cuestan $ 1000 más. Es de bajo volumen especialmente diseñado para silicio y viene por ejemplo. en placas PCIexpress donde el cliente puede escalar el rendimiento requerido conectando varios HSM en su placa base / rack. El mercado de TPM está al norte de 100mio pcs / año. Y, por definición, hay 1 TPM "enlazado" (= en su mayoría "soldado") a la plataforma.

Otras formas de interpretaciones de "HSM": Algunos utilizan el término HSM de manera ambigua, p. incluso para TrustZone en la familia de la serie ARM-A o cualquier cosa donde haya un procesador de seguridad dedicado en una CPU más general (de varios núcleos).

    
respondido por el Scott McCoy 24.05.2018 - 22:24
fuente
0

Los TPM están verificando que la computadora solo ejecuta código firmado. Por lo general, la placa base incorporada.

HSM se utiliza para almacenar claves privadas o simétricas para el cifrado. Por lo general, es un dispositivo de red independiente.

    
respondido por el Daniil Svetlov 07.05.2015 - 22:04
fuente
0

Los chips TPM a menudo están incrustados en una placa base, pero no siempre. Los HSM son casi siempre externos.

Mi placa base realmente admite agregar un chip TPM a través de un encabezado.

TPM puede replicar algunas funciones de HSM, pero un HSM no puede reemplazar un TPM. TPM permite una raíz de confianza para el arranque.

    
respondido por el Moscato 13.03.2017 - 07:03
fuente

Lea otras preguntas en las etiquetas