HSM网络上的RAID

Question

我想实现一个HSM网络，以确保数百万私钥的安全。为了提高容错能力和速度，我希望这个网络运行RAID 50 (条带、奇偶校验和复制)。据我所知，HSMs的一个关键点是，它们从不共享密钥。这是否意味着我不能运行RAID (因为我不能复制键)？还是那种“正常”的服务器网络，加上一些密码软件，就像HSM网络一样好呢？

Answer 1

是的，不要。也就是说，不要假设你将把1m+密钥存储在高速机床上，不管是谁制造的。HSM不是硬盘。别把他们当回事。

一些HSM支持外键。这些密钥使用特定的AES-256 (例如)密钥进行加密/包装，这些密钥是从其他密钥派生出来的。这个“主”键派生键保留在HSM中。

将您的1m+密钥存储在raid数组上，或者使用关系数据库管理系统、hadoop或其他什么。它。确实如此。不。物质。从高速切削的角度来看。重要的是搜索、查找、读取和发送HSM密钥以进行解密和使用的延迟。

大多数HSM提供了一种聚类的方法，因此如果一个HSM不够快，您可以将第二个(或第三个、第四个或第九个)放在它旁边。这些集群机器使用相同的主密钥派生密钥，因此它们中的任何一个都可以解密、使用和丢弃密钥，而不会暴露它或冒危害。

我在一个速度不同的HSM集群上生成了100万个密钥(RSA 2048) (我认为有10个，但这是当时实验室的情况，而且是在云雀上，所以我没有记笔记)。花了10个小时才产生它们。在VM中使用MySQL实例进行存储。

Answer 2

键需要在HSM?

中吗？

这样的场景通常通过在HSM中没有100万个单独的秘密来解决，而是通过拥有100万个加密的秘密，如果需要的话让HSM对它们进行解密。

在您的脑海中，安全存储和使用一百万密钥与一百万密码(假设它们由于某种原因需要恢复)或一百万信用卡条目之间在概念上有什么区别？

Answer 3

HSM是为这种使用而构建的，请查找“集群HSM”。

另一种选择是有一个由HSM保护的常规安全数据库(不是插槽中的卡，就是网络上可用的卡)。然后，您可以使用一个或多个HSM来保护高可用性证书存储服务器。当然，根据您对密钥存储的实际需求，这可能是不可接受的，但它应该比集群HSM便宜。

请记住，您可以复制HSM。咨询制造商，但他们在各种情况下都有这样做的程序。事实上，您可能只想就您的需求与几家制造商进行协商，他们可能有您忽略的解决方案。