HSMとは？暗号鍵の専用機の種類・価格・FIPS認証の選び方

この記事の答え

HSMは、暗号鍵を外に出さずに作り、しまい、使うための専用機です。機器を置くか、クラウドで専有するか、鍵管理サービスの裏で使うかの3つから選び、FIPS認証の版とレベル、証明書番号を確かめます。

HSMとは

HSMは、ハードウェアセキュリティモジュールの略です。耐タンパー性を備えた機器の中で、暗号鍵を作り、しまい、暗号や署名の処理まで行います。鍵がサーバーのファイルに出ないので、サーバーを乗っ取られても鍵そのものは持ち出されません。

認証局の鍵、コード署名、決済のPIN処理、データ暗号の親鍵を守るときに使います。

選ぶときの順番

選ぶときは「置く場所」「認証の版」「呼び方」の3つを先に決めます。

置く場所は、社内規程から決めます。クラウドに鍵を置けないなら機器型です。
認証の版は、監査や取引先の要件に合わせます。FIPS 140-3とFIPS 140-2は別の版です。
呼び方は、今のアプリに合わせます。PKCS#11やJCEで呼ぶアプリは、専有型へ移しやすい形です。

3つの型

機器型は、Luna 8 Network HSM、payShield 10K、nShield 5c、nShield 5s、IBMのPCIe Cryptographic Coprocessor 4770です。保守と二重化は自社で組みます。
クラウド専有型は、AWS CloudHSM、Azure Cloud HSM、OCI Dedicated KMS、Single-tenant Cloud HSM、さくらのクラウドHSMです。
鍵管理サービス型は、Azure Key Vault Managed HSM、Cloud HSM、IBM Key Protect、AWS KMS、OCI Vaultです。

FIPS認証の見方

「準拠」や「取得に向けて手続き中」と、証明書があることは別です。nShield 5cと5sの証明書番号は4745で、AWS CloudHSMのhsm2m.mediumの証明書は#4703です。Luna 8 Network HSMは認証の手続き中と公式に書かれています。

価格の見方

公式に金額を確かめられたのは4製品です。さくらのクラウドHSMは1パーティションで月額352,000円（税込）⁠で⁠、⁠別⁠に1サーバごとのライセンスが月額44,000円（税込）かかります。Cloud HSMは対称鍵1バージョンで1時間0.001369863米ドル、Single-tenant Cloud HSMは1ユニットで1時間4.794520548米ドル、AWS KMSはKMSキー1つで月1米ドルです。

機器型は公式に金額がないので、見積もりで比べます。