Häufig gestellte Fragen (FAQ)

Ein Hardware Security Module (HSM) ist ein physisches Computergerät, das zum Schutz und Verwalten kryptografischer Schlüssel verwendet wird. In HSMs gespeicherte Schlüssel können für kryptografische Vorgänge verwendet werden. Das Schlüsselmaterial bleibt sicher in manipulationssicheren, manipulationserkennenden Hardwaremodulen. Das HSM ermöglicht nur authentifizierten und autorisierten Anwendungen die Verwendung der Schlüssel. Das Schlüsselmaterial verlässt niemals die HSM-Schutzgrenze.

Azure Dedicated HSM ist ein cloudbasierter Dienst, der HSMs bereitstellt, die in Azure Rechenzentren gehostet werden, die direkt mit dem virtuellen Netzwerk eines Kunden verbunden sind. Diese HSMs sind dedizierte Thales Luna 7 HSM-Netzwerkgeräte . Sie werden direkt im privaten IP-Adressraum eines Kunden bereitgestellt, und Microsoft hat keinen Zugriff auf die kryptografischen Funktionen der HSMs. Nur der Kunde hat vollständige administrative und kryptografische Kontrolle über diese Geräte. Kunden sind für die Verwaltung des Geräts verantwortlich und können vollständige Aktivitätsprotokolle direkt von ihren Geräten abrufen. Dedizierte HSMs helfen Kunden dabei, Compliance-/regulatorische Anforderungen wie FIPS 140-2 Level 3, HIPAA, PCI-DSS und eIDAS und viele andere zu erfüllen.

Kunden müssen über einen zugewiesenen Microsoft Account Manager verfügen, um sich für das Onboarding und die Nutzung von Azure Dedicated HSM zu qualifizieren.

Microsoft hat mit Thales zusammengearbeitet, um den Azure Dedicated HSM-Dienst bereitzustellen. Das spezifische Gerät ist das Thales Luna 7 HSM-Modell A790. Dieses Gerät bietet nicht nur FIPS 140-2 Level-3 validierte Firmware, sondern bietet auch niedrige Latenz, hohe Leistung und hohe Kapazität über 10 Partitionen.

HSMs werden zum Speichern kryptografischer Schlüssel verwendet, die für kryptografische Funktionen wie TLS (Transport Layer Security), Verschlüsseln von Daten, PKI (Public Key-Infrastruktur), DRM (Verwaltung digitaler Rechte) und Signieren von Dokumenten verwendet werden.

Kunden können HSMs in bestimmten Regionen mit PowerShell oder Befehlszeilenschnittstelle bereitstellen. Der Kunde gibt an, mit welchem virtuellen Netzwerk die HSMs verbunden sind, und sobald die HSMs bereitgestellt sind, sind sie im angegebenen Subnetz an zugewiesenen IP-Adressen im privaten IP-Adressraum des Kunden verfügbar. Kunden können dann eine Verbindung zwischen SSH für die Applianceverwaltung und den HSMs herstellen, um HSM-Clientverbindungen einzurichten, HSMs zu initialisieren, Partitionen zu erstellen, Rollen wie Partitionsverantwortlicher, Kryptoverantwortlicher und Kryptobenutzer zu definieren und zuzuweisen. Anschließend verwendet der Kunde von Thales bereitgestellte HSM-Clienttools/SDKs/Software, um kryptografische Vorgänge aus seinen Anwendungen auszuführen.

Thales liefert die gesamte Software für das HSM-Gerät, sobald es von Microsoft provisioniert wurde. Die Software ist im Thales-Kundensupportportal verfügbar. Kunden, die den dedizierten HSM-Dienst verwenden, müssen für den Thales-Support registriert sein und über eine Kunden-ID verfügen, die den Zugriff auf und den Download relevanter Software ermöglicht. Die unterstützte Clientsoftware ist Version 7.2, die mit der FIPS 140-2 Level 3 validierten Firmwareversion 7.0.3 kompatibel ist.

Die folgenden Artikel verursachen zusätzliche Kosten bei Verwendung des dedizierten HSM-Diensts.

• Die Verwendung eines dedizierten lokalen Sicherungsgeräts ist mit dem Dedicated HSM-Dienst möglich, verursacht jedoch zusätzliche Kosten und sollte direkt von Thales bezogen werden.
• Dediziertes HSM wird mit einer 10 Partitionslizenz bereitgestellt. Ein Kunde kann weitere Partitionen anfordern und für weitere Lizenzen bezahlen, die direkt von Thales bezogen werden.
• Ein dediziertes HSM erfordert Netzwerkinfrastruktur (virtuelles Netzwerk, VPN Gateway usw.) und Ressourcen wie virtuelle Computer für die Gerätekonfiguration. Diese Ressourcen verursachen zusätzliche Kosten und sind nicht in den Dedicated HSM Servicepreisen enthalten.

No. Azure Dedicated HSM stellt nur HSMs mit kennwortbasierter Authentifizierung bereit.

No. Azure Dedicated HSM Dienst unterstützt keine Funktionalitätsmodule.

Microsoft bietet nur das Thales Luna 7 HSM-Modell A790 über den Dedicated HSM-Service an und kann keine vom Kunden bereitgestellten Geräte hosten.

Der Azure Dedicated HSM-Dienst verwendet Thales Luna 7 HSMs. Diese Geräte unterstützen keine zahlungsspezifische HSM-Funktionalität (z. B. PIN oder EFT) oder Zertifizierungen. Wenn Sie möchten, dass der Azure Dedicated HSM Service künftig Zahlungs-HSMs unterstützt, geben Sie das Feedback an Ihren Microsoft-Kontovertreter weiter.

Ab Oktober 2022 ist dedicated HSM in 22 Regionen verfügbar. Weitere Regionen sind geplant und können mit Ihrem Microsoft-Kundenbetreuer besprochen werden.

• East US
• Ost-USA 2
• West US
• Westliches USA 2
• Canada East
• Canada Central
• Süd-Mittel-USA
• Südostasien
• Indien, Mitte
• Indien, Süden
• Japan East
• Japan West
• North Europe
• West Europe
• UK South
• UK West
• Australia East
• Australien, Südosten
• Switzerland North
• Westschweiz
• US-Regierung Virginia
• US-Regierung Texas

Sie verwenden von Thales bereitgestellte HSM-Clienttools/SDK/Software, um kryptografische Vorgänge aus Ihren Anwendungen heraus durchzuführen. Die Software ist im Thales-Kundensupportportal verfügbar. Kunden, die den dedizierten HSM-Dienst verwenden, müssen für den Thales-Support registriert sein und über eine Kunden-ID verfügen, die den Zugriff auf und den Download relevanter Software ermöglicht.

Ja, Sie müssen virtuelles Netzwerk-Peering in einer Region verwenden, um verbindungen über virtuelle Netzwerke hinweg herzustellen. Für die regionsübergreifende Konnektivität müssen Sie VPN Gateway verwenden.

Ja, Sie können lokale HSMs mit Dedicated HSM synchronisieren. Point-to-Point VPN- oder Point-to-Site-Konnektivität kann verwendet werden, um eine Verbindung mit Ihrem lokalen Netzwerk herzustellen.

No. Azure Dedicated HSMs sind nur innerhalb Ihres virtuellen Netzwerks zugänglich.

Ja, wenn Sie lokale Thales Luna 7 HSMs haben. Es gibt mehrere Methoden. Weitere Informationen finden Sie in der Thales HSM-Dokumentation.

• Windows, Linux, Solaris, AIX, HP-UX, FreeBSD
• Virtual: VMware, Hyper-V, Xen, KVM

Um eine hohe Verfügbarkeit zu haben, müssen Sie Ihre HSM-Clientanwendungskonfiguration so einrichten, dass Partitionen von jedem HSM verwendet werden. Weitere Informationen finden Sie in der Dokumentation zur Clientsoftware von Thales HSM.

Azure Dedicated HSM verwendet Thales Luna 7 HSM-Modell A790-Geräte und unterstützt die kennwortbasierte Authentifizierung.

PKCS#11, Java (JCA/JCE), Microsoft CAPI und CNG, OpenSSL

Yes. Wenden Sie sich an Ihren Thales-Vertreter für den entsprechenden Thales-Migrationsleitfaden.

No. Azure Dedicated HSM Dienst unterstützt keine Funktionalitätsmodule.

Azure Dedicated HSM ist die geeignete Wahl für Unternehmen, die zu lokalen Azure-Anwendungen migrieren, die HSMs verwenden. Dedizierte HSMs stellen eine Option zum Migrieren einer Anwendung mit minimalen Änderungen dar. Wenn kryptografische Vorgänge im Code der Anwendung ausgeführt werden, der in einer Azure VM oder Web App ausgeführt wird, kann dafür Dedicated HSM verwendet werden. Im Allgemeinen kann Software auf Datenträgern, die in IaaS-Modellen (Infrastructure-as-a-Service) mit Unterstützung von HSMs als Schlüsselspeicher ausgeführt wird, Dedicated HSM verwenden. Beispiele dafür sind Traffic Manager für schlüsselloses TLS, ADCS (Active Directory-Zertifikatdienste) oder ähnliche PKI-Tools, Tools/Anwendungen für das Signieren von Dokumenten, Codesignatur oder ein SQL Server (IaaS), der mit TDE (Transparent Database Encryption) mit Primärschlüssel in einem HSM unter Verwendung eines EKM-Anbieters (Extensible Key Management) konfiguriert ist. Azure Key Vault eignet sich für „in der Cloud geborene“ Anwendungen oder für Verschlüsselungsszenarien für ruhende Daten, bei denen Kundendaten von PaaS- (Platform-as-a-Service) oder SaaS-Szenarien (Software-as-a-Service) wie Office 365 mit Kundenschlüssel, Azure Information Protection, Azure Disk Encryption, Azure Data Lake Store-Verschlüsselung mit vom Kunden verwaltetem Schlüssel, Azure Storage-Verschlüsselung mit vom Kunden verwaltetem Schlüssel und Azure SQL mit vom Kunden verwaltetem Schlüssel verarbeitet werden.

Azure Dedicated HSM eignet sich am besten für Migrationsszenarien, in denen Sie lokale Anwendungen zu Azure migrieren, die bereits HSMs verwenden. Dies bietet eine reibungslose Methode für die Migration zu Azure mit minimalen Änderungen an der Anwendung. Wenn kryptografische Vorgänge im Code der Anwendung ausgeführt werden, der in Azure VM oder Web App ausgeführt wird, kann dedizierte HSM verwendet werden. Im Allgemeinen kann Software auf Datenträgern, die in IaaS-Modellen (Infrastructure-as-a-Service) mit Unterstützung von HSMs als Schlüsselspeicher ausgeführt wird, Dedicate HSM verwenden. Beispiele dafür sind:

• Traffic Manager für Keyless TLS
• ADCS (Active Directory-Zertifikatdienste)
• Ähnliche PKI-Tools
• Tools/Anwendungen für das Signieren von Dokumenten
• Code-Signierung
• SQL Server (IaaS), konfiguriert mit TDE (transparenter Datenbankverschlüsselung) mit Primärschlüssel in einem HSM mithilfe eines EKM-Anbieters (extensible key management)

No. Dediziertes HSM wird direkt in den privaten IP-Adressraum eines Kunden bereitgestellt, sodass er von anderen Azure oder Microsoft-Dienste nicht zugänglich ist.

Yes. Jede HSM-Appliance ist vollständig auf einen einzelnen Kunden ausgerichtet, und niemand sonst besitzt nach der Bereitstellung und Änderung des Administratorkennworts die Verwaltungskontrolle.

Microsoft hat keine administrative oder kryptografische Kontrolle über das HSM. Microsoft verfügt über Zugriff auf Überwachungsebene über eine serielle Portverbindung, um grundlegende Telemetriedaten wie Temperatur und Komponentenintegrität abzurufen, damit Microsoft proaktive Benachrichtigungen zu Integritätsproblemen bereitstellen kann. Bei Bedarf kann der Kunde dieses Konto deaktivieren.

Das HSM-Gerät wird mit dem Standardbenutzer admin und seinem üblichen Standardkennwort ausgeliefert. Microsoft wollte nicht, dass Standardkennwörter verwendet werden, während sich ein Gerät in einem Pool befindet und auf die Bereitstellung durch Kunden wartet. Dies würde unsere strengen Sicherheitsanforderungen nicht erfüllen. Aus diesem Grund legen wir ein sicheres Kennwort fest, das zur Bereitstellungszeit verworfen wird. Außerdem erstellen wir zur Bereitstellungszeit einen neuen Benutzer in der Administratorrolle namens "Mandantenadministrator". Der Benutzer „tenant admin“ verfügt über das Standardkennwort, das Kunden als erste Aktion ändern, wenn sie sich zum ersten Mal beim neu bereitgestellten Gerät anmelden. Dieser Prozess gewährleistet ein hohes Maß an Sicherheit und hält unser Versprechen der alleinigen administrativen Kontrolle für unsere Kunden. Es sollte beachtet werden, dass der Benutzer "Mandantenadministrator" verwendet werden kann, um das Administratorbenutzerkennwort zurückzusetzen, wenn ein Kunde es vorzieht, dieses Konto zu verwenden.

No. Microsoft hat keinen Zugriff auf die in einem dem Kunden zugewiesenen Dedicated HSM gespeicherten Schlüssel.

No. Azure Dedicated HSM ist ein Bare-Metal-HSM für den Leasingdienst. Unser Service speichert keine Kundendaten. Alle Schlüsselmaterialien und Daten werden innerhalb der HSM-Appliance des Kunden gespeichert. Jede HSM-Appliance ist vollständig auf einen einzelnen Kunden ausgerichtet, der die volle administrative Kontrolle darüber hat.

Der Kunde hat die volle administrative Kontrolle, einschließlich eines Upgrades der Software/Firmware, wenn spezifische Funktionen von verschiedenen Firmwareversionen erforderlich sind. Bevor Sie Änderungen vornehmen, wenden Sie sich bezüglich Ihres Software-/Firmware-Upgrade-Szenarios an den Thales Support.

Sie können dedizierte HSMs verwalten, indem Sie über SSH darauf zugreifen.

Die Thales HSM-Clientsoftware wird zum Verwalten der HSMs und Partitionen verwendet.

Ein Kunde hat vollzugriff auf HSM-Aktivitätsprotokolle über Syslog und SNMP. Ein Kunde muss einen Syslog-Server oder SNMP-Server einrichten, um die Protokolle oder Ereignisse von den HSMs zu empfangen.

Yes. Sie können Protokolle von der HSM-Appliance an einen Syslog-Server senden.

Yes. Hochverfügbarkeitskonfiguration und -einrichtung werden in der von Thales bereitgestellten HSM-Clientsoftware durchgeführt. HSMs aus demselben virtuellen Netzwerk oder anderen VNETs in derselben Region oder regionsübergreifend oder On-Premises-HSMs, die mit einem virtuellen Netzwerk mithilfe von Standort-zu-Standort- oder Punkt-zu-Punkt-VPN verbunden sind, können derselben Hochverfügbarkeitskonfiguration hinzugefügt werden. Beachten Sie, dass dadurch nur schlüsselmaterial und nicht bestimmte Konfigurationselemente wie Rollen synchronisiert werden.

Yes. Sie müssen die Hohen Verfügbarkeitsanforderungen für Thales Luna 7 HSMs erfüllen.

No.

16 Mitglieder einer HA-Gruppe wurden unter Volllast mit hervorragenden Ergebnissen getestet.

Es gibt keine spezifische Betriebszeitgarantie für den dedizierten HSM-Dienst. Microsoft stellt den Zugriff auf das Gerät auf Netzwerkebene sicher, und daher gelten standardmäßige Azure Netzwerk-SLAs.

Azure Rechenzentren verfügen über umfangreiche physische und verfahrenstechnische Sicherheitskontrollen. Darüber hinaus werden dedizierte HSMs in einem weiteren eingeschränkten Zugriffsbereich des Rechenzentrums gehostet. Diese Bereiche verfügen über mehr physische Zugangskontrollen und Videoüberwachung für zusätzliche Sicherheit.

Der dedizierte HSM-Service verwendet Thales Luna 7 HSM Appliances. Diese Geräte unterstützen die physische und logische Manipulationserkennung. Wenn es jemals zu einem Manipulationsereignis kommt, werden die HSMs automatisch auf Null zurückgesetzt.

Es wird dringend empfohlen, ein lokales HSM-Sicherungsgerät zu verwenden, um regelmäßige regelmäßige sicherungen der HSMs für die Notfallwiederherstellung durchzuführen. Sie müssen eine Peer-to-Peer- oder Site-to-Site-VPN-Verbindung zu einer lokalen Arbeitsstation verwenden, die mit einem HSM-Sicherungsgerät verbunden ist.

Unterstützung wird sowohl von Microsoft als auch von Thales bereitgestellt. Wenn Sie ein Problem mit dem Hardware- oder Netzwerkzugriff haben, lösen Sie eine Supportanfrage mit Microsoft aus, und wenn Sie ein Problem mit HSM-Konfiguration, Software und Anwendungsentwicklung haben, lösen Sie eine Supportanfrage mit Thales aus. Erstellen Sie bei einem nicht eindeutigen Problem eine Supportanfrage für Microsoft. Falls erforderlich, kann Thales dann eingebunden werden.

Nachdem Sie sich für den Dienst registriert haben, erhalten Sie eine Thales-Kunden-ID, die die Registrierung im Thales-Kundensupportportal ermöglicht und den Zugriff auf alle Software und Dokumentation sowie Supportanfragen direkt bei Thales ermöglicht.

Microsoft hat nicht die Möglichkeit, eine Verbindung mit HSMs herzustellen, die Kunden zugeordnet sind. Kunden müssen ihre HSMs aktualisieren und patchen.

Das HSM verfügt jedoch über eine Befehlszeilenneustartoption. Es treten jedoch Probleme auf, bei denen der Neustart vorübergehend nicht mehr reagiert, und aus diesem Grund wird empfohlen, dass Sie für den sichersten Neustart eine Supportanfrage mit Microsoft auslösen, damit das Gerät physisch neu gestartet wird.

Ja, Dedicated HSM stellt Thales Luna 7 HSMs bereit, die FIPS 140-2 Level-3-validiert sind.

Der dedizierte HSM-Service stellt Thales Luna 7 HSM Appliances zur Verfügung. Sie unterstützen eine vielzahl von kryptografischen Schlüsseltypen und Algorithmen, darunter: Full Suite B-Unterstützung

• Asymmetrisch:
  • RSA
  • DSA
  • Diffie-Hellman
  • Elliptische Kurve
  • Kryptografie (ECDSA, ECDH, Ed25519, ECIES) mit benannten, benutzerdefinierten und Brainpoolkurven, KCDSA
• Symmetrisch:
  • AES-GCM
  • Triple DES
  • DES
  • ARIA, SEED
  • RC2
  • RC4
  • RC5
  • CAST
  • Hash/Nachrichtendigest/HMAC: SHA-1, SHA-2, SM3
  • Schlüsselableitung: SP 800-108 Counter Mode
  • Key Wrapping: SP 800-38F
  • Zufallszahlengenerierung: FIPS 140-2 genehmigte DRBG (SP 800-90 CTR Modus), konform mit BSI DRG.4

Yes. Der dedizierte HSM-Dienst stellt Thales Luna 7 HSM Modell A790-Geräte bereit, die FIPS 140-2 Level-3-validiert sind.

Der dedizierte HSM-Service stellt Thales Luna 7 HSM Appliances zur Verfügung. Diese Geräte sind FIPS 140-2 Level 3 validierte HSMs. Die standardmäßig bereitgestellte Konfiguration, das Betriebssystem und die Firmware sind ebenfalls FIPS-validiert. Sie müssen keine Maßnahmen für die FIPS 140-2 Level 3-Compliance ergreifen.

Bevor ein Kunde die Aufhebung der Bereitstellung anfordert, muss er das HSM mit den von Thales bereitgestellten HSM-Clienttools auf Null zurückgesetzt haben.

Dedicated HSM stellt Thales Network Luna 7-HSMs bereit. Hier ist eine Zusammenfassung der maximalen Leistung für einige Vorgänge:

• RSA-2048: 10.000 Transaktionen pro Sekunde
• ECC P256: 20.000 Transaktionen pro Sekunde
• AES-GCM: 17.000 Transaktionen pro Sekunde

Das verwendete Thales Luna 7 HSM-Modell A790 enthält eine Lizenz für 10 Partitionen in den Kosten des Dienstes. Das Gerät hat einen Grenzwert von 100 Partitionen und das Hinzufügen von Partitionen bis zu diesem Grenzwert würde zusätzliche Lizenzkosten verursachen und die Installation einer neuen Lizenzdatei auf dem Gerät erfordern.

Die maximale Anzahl von Schlüsseln ist eine Funktion des verfügbaren Arbeitsspeichers. Das verwendete Thales Luna 7-Modell A790 verfügt über 32 MB Arbeitsspeicher. Die folgenden Nummern gelten auch für Schlüsselpaare, wenn asymmetrische Schlüssel verwendet werden.

• RSA-2048 - 19,000
• ECC-P256 - 91.000

Die Kapazität variiert je nach den in der Vorlage für die Schlüsselgenerierung festgelegten spezifischen Schlüsselattributen sowie der Anzahl der Partitionen.