Quelles sont les différences entre TPM et HSM?
TPM (Trusted Platform Module) et HSM (Hardware Security Module) sont considérés comme des cryptoprocesseurs, mais quelles sont exactement les différences?
L'un d'eux a-t-il plus d'avantages qu'un autre?
Modules de plateforme sécurisés
Un module de plateforme sécurisée (TPM) est une puce matérielle sur la carte mère de l'ordinateur qui stocke les clés cryptographiques utilisées pour le chiffrement. De nombreux ordinateurs portables incluent un module de plateforme sécurisée, mais si le système ne l’inclut pas, il n’est pas possible d’en ajouter un. Une fois activé, le Trusted Platform Module fournit des capacités de chiffrement complet du disque. Il devient la "racine de confiance" du système pour fournir l'intégrité et l'authentification au processus de démarrage. Il garde les disques durs verrouillés/scellés jusqu'à ce que le système termine une vérification du système ou une vérification d'authentification.
Le TPM comprend une clé RSA unique gravée, qui est utilisée pour le chiffrement asymétrique. De plus, il peut générer, stocker et protéger d'autres clés utilisées dans le processus de chiffrement et de déchiffrement.
Modules de sécurité matérielle
Un module de sécurité matériel (HSM) est un dispositif de sécurité que vous pouvez ajouter à un système pour gérer, générer et stocker en toute sécurité des clés cryptographiques.
Les HSM hautes performances sont des périphériques externes connectés à un réseau via TCP/IP. Les HSM plus petits se présentent sous la forme de cartes d'extension que vous installez sur un serveur ou de périphériques que vous branchez sur les ports de l'ordinateur.
L'une des différences notables entre les deux est que les HSM sont des périphériques amovibles ou externes. En comparaison, un TPM est une puce intégrée à la carte mère. Vous pouvez facilement ajouter un HSM à un système ou à un réseau, mais si un système n'était pas livré avec un TPM, il n'est pas possible d'en ajouter un plus tard. Les deux offrent des capacités de chiffrement sécurisées en stockant et en utilisant des clés RSA.
Source: https://blogs.getcertifiedgetahead.com/tpm-hsm-hardware-encryption-devices/
Désolé, mais je pense qu'il y a des lacunes dans cette conversation:
- Les TPM ne peuvent pas être ajoutés ultérieurement: Faux. De nombreuses cartes mères modernes incluent un en-tête auquel un TPM peut être ajouté après coup. Visitez Amazon et regardez les cartes des modules TPM pour MSI, Asus et autres cartes mères
- les HSM sont généralement supprimés ou connectés au résea: Faux. Les HSM peuvent être intégrés dans une gamme de matériel allant du FIPS 140-3 châssis de montage en rack compatible, aux cartes PCI-E, aux clés USB, aux cartes MicroSD
La principale différence est en cours d'utilisation. Les TPM sont destinés à fournir une racine matérielle de confiance pour permettre l'informatique sécurisée en fournissant une enclave de stockage de clé sécurisée avec des fonctions cryptographiques minimales principalement dans l'espace de signature et de vérification de signature. Quelqu'un a décrit les principaux cas d'utilisation ... le stockage des clés de chiffrement de lecteur et la validation des signatures sur les chargeurs de démarrage, les noyaux et les pilotes de périphérique. Remarque, une grande partie de cela peut être accomplie sans TPM (démarrage sécurisé avec BIOS prenant en charge Windows WHQL, y compris les clés Microsoft par défaut), cryptage de disque basé sur un mot de passe. Les TPM coûtent généralement entre 7 $ USD (dans le cadre de la nomenclature d'une carte personnalisée) et 15 $ USD (en tant que module enfichable après modification du marché). Les TPM peuvent inclure des fonctionnalités de lecteur de carte à puce/carte à puce virtuelle.
Les HSM ont généralement deux fonctions principales étroitement liées. La première fonction est les fonctions cryptographiques activées/accélérées par le matériel, notamment le chiffrement, le déchiffrement, la génération de clés, les fonctions PRNG et les fonctions de validation de signature/signature associées. En général, ce sont des fonctions matérielles accélérées par FPGA embarqué ou ASIC (ou une combinaison). La deuxième fonction est généralement un lecteur de carte à puce avec/sans carte à puce virtuelle pour le stockage des clés/certificats avec des protections améliorées (PIN). L'intégration des deux fournit un modèle puissant pour utiliser du matériel pour générer un certificat non exportable intégré dans la carte à puce virtuelle. Les HSM peuvent aller de dizaines de milliers de dollars (pour les solutions basées sur châssis) à des milliers de dollars (pour les cartes PCIE) à 100s de dollars (USB) à 10s de dollars (pour les versions H-SDC).
D'après mon expérience, les TPM sont principalement utilisés pour le stockage de clés, les HSM sont principalement utilisés pour la cryptographie matérielle accélérée avec stockage de clés.
Les TPM sont des parties très précisément spécifiées par rapport au niveau de fonctionnement et de sécurité qu'elles fournissent ( https://www.trustedcomputinggroup.org ).
Il a une fonction fixe, est une puce à faible coût et pourtant de haute sécurité (moins de 2,00 $). Le but est de servir de "racine de confiance" sur une plateforme. Ils sont également testés et certifiés pour résister à un niveau défini d'attaques par canal latéral/d'observation, d'attaques semi-invasives/de faute et même d'attaques invasives.
En revanche, le terme HSM dit essentiellement "module de sécurité matérielle", ce qui conduit à une ambiguïté et à une variété d'interprétations.
Traditionnellement, un HSM est un module optimisé pour générer des clés et des certificats AES, RSA ou ECC en très haute performance. Imaginez que vous exécutez un serveur Web qui sera capable d'établir rapidement des centaines ou des milliers de sessions https (SSL/TLS). Cela nécessite une performance cryptographique massive (c'est-à-dire la génération de clés). Les HSM le font - très rapidement! Ils ne sont pas nécessairement bien protégés et sophistiqués contre les attaques, car ils sont généralement exploités dans un environnement sécurisé. Cependant, ils sont généralement conditionnés de manière à offrir une résistance à la falsification et des preuves. Grande différence avec les TPM: ces modules coûtent 1000 $ à la hausse. C'est du silicium spécialement conçu à faible volume et vient par exemple sur des cartes PCIexpress où le client peut faire évoluer les performances requises en branchant plusieurs HSM sur sa carte mère/rack. Le marché du TPM se situe au nord de 100 millions de pièces/an. Et par définition, il y a 1 TPM "lié" (= principalement "soudé") à la plate-forme.
Autres formes d'interprétation "HSM": Certains utilisent le terme HSM de manière ambiguë, par ex. même pour la TrustZone de la famille de la série ARM-A ou quoi que ce soit où il y a un processeur de sécurité dédié dans un processeur plus général (multicœur).
Les puces TPM sont souvent intégrées sur une carte mère, mais pas toujours. Les HSM sont presque toujours externes.
Ma carte mère prend en charge l'ajout d'une puce TPM via un en-tête.
TPM peut répliquer certaines fonctionnalités HSM, mais un HSM ne peut pas remplacer un TPM. TPM permet une racine de confiance pour le démarrage.
Les TPM vérifient que l'ordinateur exécute uniquement du code signé. Il est généralement intégré à la carte mère.
HSM utilisé pour stocker des clés privées ou symétriques pour le chiffrement.Il s'agit généralement d'un périphérique réseau distinct.