Обзор интегрированного HSM Azure

Azure Integrated HSM — это аппаратный модуль безопасности (HSM) для кэша и переноса криптографических операций, предназначенные для улучшения безопасности и производительности криптографических операций в виртуальных машинах. Для клиентов, которые сильно полагаются на криптографию и имеют рабочие нагрузки с высокой производительностью, Azure интегрированный HSM предоставляет безопасный аппаратный способ хранения криптографических ключей для быстрого и безопасного использования.

Начиная с новых серверов Azure AMD D-серии v7 и AMD E-серии v7, разработанные Microsoft микросхемы HSM внедрены прямо в серверы и соответствуют федеральным стандартам обработки информации (FIPS) 140-3 уровня 3. Эти устойчивые к взлому чипы сохраняют ключи шифрования в безопасных аппаратных границах, устраняя задержку и риски утечки данных. Интегрированный модуль HSM по умолчанию работает прозрачно для поддерживаемых служб, таких как Azure Key Vault и шифрование служба хранилища Azure, обеспечивая аппаратное принудительное доверие без дополнительной настройки. Эта интеграция гарантирует, что криптографические операции получают выгоду от изоляции на уровне оборудования при сохранении производительности и масштабируемости облачных служб.

Преимущества встроенного HSM Azure

  • Низкая задержка
    • Уменьшите количество сетевых запросов к Azure Key Vault или управляемому HSM, выполняя криптографические операции локально на том же узле, что и ВМ (виртуальная машина).
  • Ключи остаются защищенными
    • Ключи, хранящиеся в интегрированном HSM Azure, не предоставляются в открытом виде и остаются в пределах границы HSM уровня 3 по стандарту FIPS 140-3.
  • Защита памяти
    • Защита от атак на память и аварийного дампа
  • Встроенная инфраструктура
    • Интегрированный HSM Azure подключен к каждому поддерживаемому узлу в рамках инфраструктуры Azure
  • Без дополнительных затрат
    • Доступно без дополнительных затрат

Поддерживаемые операции

Для Azure интегрированных HSM поддерживаются следующие криптографические операции:

  • AES — Шифрование и расшифровка (BCRYPT_AES_ALGORITHM)
    • AES-CBC (BCRYPT_CHAIN_MODE_CBC)
      • 128-разрядное
      • 192-битный
      • 256-битный
    • AES-GCM (BCRYPT_CHAIN_MODE_GCM)
      • 256-битный
    • AES-XTS (BCRYPT_XTS_AES_ALGORITHM)
      • 512-разрядная версия
  • RSA (BCRYPT_RSA_ALGORITHM)
    • Расшифровка + знак
      • RSA 2048 (2k)
      • RSA 3072 (3k)
      • RSA 4096 (4k)
    • Развернуть
      • RSA 2048 (2k)
  • ECC
    • ECDSA — знак (BCRYPT_ECDSA_ALGORITHM)
      • ECC P256 (BCRYPT_ECDSA_P256_ALGORITHM)
      • ECC P384 (BCRYPT_ECDSA_P384_ALGORITHM)
      • ECC P521 (BCRYPT_ECDSA_P521_ALGORITHM)
    • ECDH — обмен секретными ключами (BCRYPT_ECDH_ALGORITHM)
      • ECC P256 (BCRYPT_ECDH_P256_ALGORITHM)
      • ECC P384 (BCRYPT_ECDH_P384_ALGORITHM)
      • ECC P521 (BCRYPT_ECDH_P521_ALGORITHM)
  • Генерация ключа
    • HKDF ("Функция вывода ключей на основе HMAC") (BCRYPT_HKDF_ALGORITHM)
      • Как определено в IETF RFC 5869 и в NCrypt упоминается строкой BCRYPT_HKDF_ALGORITHM

Доступность и цены

Интегрированный модуль HSM Azure теперь доступен для использования на общедоступной версии платформы AMD v7 во всех поддерживаемых регионах для AMD v7. Это поддерживается для серии общего назначения Dasv7, Dadsv7, Easv7 и Eadsv7 для 8 виртуальных CPU и более для доверенной загрузки виртуальных машин. Общая доступность Azure Integrated HSM предназначена только для поддержки Windows, поддержка Linux появится в ближайшее время. Эта функция предоставляется без дополнительных затрат.

Наш репозиторий GitHub содержит примеры клиентов и инструкции по использованию встроенного HSM Azure.

Limitations

  • Поддержка только для Windows-гостей
    • Windows гостевой образ с WS2025 или WS2022 может поддерживать AziHSM. Посетите нашу страницу на GitHub, чтобы получить дополнительные инструкции по установке гостевого драйвера и ключевого сервис-провайдера, необходимого для взаимодействия с устройством.
  • Требуется согласие клиента — не включен по умолчанию для всех вариантов SKU.
  • Поддерживается только на некоторых SKU виртуальных машин
  • Требование минимального размера виртуальной машины
    • Azure интегрированный модуль HSM поддерживается только для размеров 8vCores и более поздних версий
  • Поддерживается только тип безопасности доверенного запуска
    • Эта функция доступна только для типа безопасности доверенного запуска. Standard и Confidential не поддерживаются.
  • Отсутствие сохраняемости локально кэшированных ключей в сценариях размещения и перезагрузки виртуальной машины
    • Azure HSM, интегрированный, представляет собой локальное хранилище ключей, предназначенное для поддержки эфемерных криптографических операций. Ключи не будут сохраняться во время перезагрузки виртуальной машины.

Дальнейшие действия

  • Last updated on