security - 在HSM交互安全中的应用

Question

我感觉我失去了一些东西。我知道 HSM 可以为您的 key 、加密数据等提供 100% 的防弹保护。但是，在您访问 HSM 并将您的 secret 复制到用户内存后，如何防止攻击者窃取您的敏感数据呢？或者例如，只使用相同的 API 来访问模块？应用程序身份验证如何工作？如果它基于一些简单的东西，比如密码，为什么攻击者不能从内存中窃取密码，登录到 HSM 并得到他想要的东西？另外，如果内核受到损害，我认为它可以监听或篡改进程与 HSM 之间的任何通信，对吗？

Answer 1

您对此的担心是正确的 - HSM 不是万能药，能够验证并使用 HSM 的受感染服务器确实存在风险，as ably demonstrated by Diginotar .

How does the application authentication works?

不同的 HSM 提供不同的身份验证选项，例如物理 token (例如智能卡)、物理密码输入、逻辑 token (在内存 key 中)、用户定义的自定义解决方案等。

But what prevent the attacker from stealing your sensitive data right after you accessed HSM and got your secrets copied to the users memory?

理想情况下，在使用 HSM 实现解决方案时，敏感 key 永远不会暴露在 HSM 之外 - 您可以让 HSM 使用 key (例如进行签名/加密)，而不是获取 key HSM 为您提供 key 。

login into the HSM and get what he wants?

HSM 允许您保护 key ，以便无法从 HSM 导出它们(即使您拥有用户/管理员的所有凭据)。

Also, if the kernel if compromised, I assume it can listen or tamper any communication between a process and the HSM, right?

是的；应用程序和 HSM 之间可能存在加密保护 channel ，但最终内核受损的计算机应被视为攻击者控制的计算机 - 计算机可以合法执行的任何操作，攻击者都可以非法使用。