Ключ безпеки YubiHSM 2 v2.4

YubiHSM 2 v2.4 – аппаратный модуль безопасности Yubico в формате Nano USB-A для генерации, хранения и использования криптографических ключей.

Устройство рассчитано не на конечного пользователя, а на серверную инфраструктуру: защита корневых ключей центра сертификации, подпись кода и документов, работа с Microsoft Active Directory Certificate Services, шифрование баз данных, IoT-шлюзы и криптобиржи. Приватные ключи генерируются внутри модуля и не возвращаются наружу в открытом виде – все операции выполняются на устройстве.

Каждый ключ принадлежит одному или нескольким доменам безопасности, а права доступа задаются отдельно для каждого ключа аутентификации. Это позволяет разделить роли: одно приложение только читает журналы аудита, другое подписывает сертификаты, третье управляет жизненным циклом ключей. Связь с хостом идет через взаимно аутентифицированный зашифрованный канал, а модуль можно сделать доступным по сети для приложений на других серверах.

Резервное копирование строится по схеме M-of-N: ключ-обертку разделяют между несколькими администраторами, и для переноса ключа на другой YubiHSM нужно участие заданного их количества. Это исключает ситуацию, когда один человек единолично может вывезти корневой ключ.

Прошивка 2.4 добавила импорт и экспорт объектов через RSA-2048/3072/4096 и RSA-OAEP, а также публичные wrap-ключи. Модуль поддерживает RSA до 4096 бит, ECC-кривые NIST, Brainpool и secp256k1, подпись Ed25519, обмен ключами ECDH, AES-128/192/256, SHA-1/256/384/512, HMAC и аттестацию сгенерированных на устройстве ключевых пар. Аппаратный генератор случайных чисел засевает AES-256 CTR_DRBG по NIST SP 800-90A.

Интеграция выполняется через PKCS#11, Microsoft CNG (KSP) или нативные библиотеки для C и Python. SDK открытый.

Формат Nano рассчитан на постоянное нахождение в порту сервера. Модуль не имеет батареи и движущихся частей, корпус с защитой IP68 и устойчивостью к раздавливанию.

Эта версия не имеет сертификации FIPS – для регулируемых сред предусмотрена отдельная модель YubiHSM 2 FIPS.

Характеристики

• Тип: аппаратный модуль безопасности (HSM)

• Форм-фактор: Nano, разъем USB-A

• Прошивка: 2.4

• Хранилище: до 256 объектов, 128 КБ

• Асимметричные алгоритмы: RSA 2048/3072/4096, ECDSA (NIST, Brainpool, secp256k1), EdDSA (Ed25519), ECDH

• Симметричные алгоритмы: AES-128/192/256 (ECB, CBC)

• Хеширование: SHA-1, SHA-256, SHA-384, SHA-512, HMAC

• Генератор случайных чисел: аппаратный TRNG, AES-256 CTR_DRBG по NIST SP 800-90A

• Интерфейсы: PKCS#11, Microsoft CNG (KSP), нативные библиотеки C и Python

• Резервное копирование: wrap-ключ со схемой M-of-N

• Аудит: журнал событий с защитой от подмены

• Питание: от порта, без батареи

• Защита корпуса: IP68, устойчив к раздавливанию

• Сертификация FIPS: отсутствует

Совместимость
Windows, macOS и поддерживаемые дистрибутивы Linux через YubiHSM SDK.

Гарантия
12 месяцев.

Комплектация

• 1x Модуль YubiHSM 2 v2.4