Domande frequenti

Un modulo di protezione hardware (HSM) è un dispositivo di elaborazione fisico usato per proteggere e gestire le chiavi crittografiche. Le chiavi archiviate negli HSM possono essere usate per operazioni crittografiche. Il materiale delle chiavi rimane protetto all'interno di moduli hardware antimanomissione. Il modulo di protezione hardware consente solo alle applicazioni autenticate e autorizzate di usare le chiavi. Il materiale crittografico non lascia mai il limite di protezione dell'HSM.

HSM dedicato di Azure è un servizio basato sul cloud che fornisce moduli di protezione hardware ospitati in data center Azure connessi direttamente alla rete virtuale di un cliente. Questi moduli di protezione hardware sono appliance di rete Thales Luna 7 HSM dedicate. Vengono distribuiti direttamente nello spazio di indirizzi IP privato del cliente e Microsoft non ha alcun accesso alla funzionalità di crittografia dei moduli di protezione hardware. Solo il cliente ha il controllo amministrativo e crittografico completo su questi dispositivi. I clienti sono responsabili della gestione del dispositivo e possono ottenere i log attività completi direttamente dai propri dispositivi. I moduli di protezione hardware dedicati consentono ai clienti di soddisfare i requisiti di conformità/normative, ad esempio FIPS 140-2 Livello 3, HIPAA, PCI-DSS e eIDAS e molti altri.

I clienti devono avere un Microsoft Account Manager assegnato per qualificarsi per l'onboarding e l'uso di HSM dedicato di Azure.

Microsoft ha collaborato con Thales per fornire il servizio HSM dedicato di Azure. Il dispositivo specifico usato è il modello HSM Thales Luna 7 A790. Questo dispositivo non solo fornisce firmware convalidato FIPS 140-2 Livello 3 , ma offre anche bassa latenza, prestazioni elevate e capacità elevata tramite 10 partizioni.

I moduli di protezione hardware vengono usati per archiviare le chiavi crittografiche usate per la funzionalità di crittografia, ad esempio TLS (transport layer security), crittografia dei dati, PKI (infrastruttura a chiave pubblica), DRM (Digital Rights Management) e firma dei documenti.

I clienti possono effettuare il provisioning di HSM in aree specifiche usando PowerShell o l'interfaccia della riga di comando. Il cliente specifica la rete virtuale a cui sono connessi i moduli di protezione hardware e, dopo il provisioning, i moduli di protezione hardware sono disponibili nella subnet designata agli indirizzi IP assegnati nello spazio di indirizzi IP privati del cliente. I clienti possono quindi connettersi ai moduli di protezione hardware usando SSH per la gestione e l'amministrazione dell'appliance, configurare le connessioni client del modulo di protezione hardware, inizializzare moduli di protezione hardware, creare partizioni, definire e assegnare ruoli come il responsabile della partizione, il responsabile della crittografia e l'utente di crittografia. Il cliente usa quindi gli strumenti client di HSM forniti da Thales/SDK/software per eseguire operazioni di crittografia tramite le proprie applicazioni.

Thales fornisce tutto il software per il dispositivo HSM dopo il provisioning da parte di Microsoft. Il software è disponibile nel portale di assistenza clienti Thales. I clienti che usano il servizio HSM dedicato devono essere registrati per il supporto Thales e hanno un ID cliente che consente l'accesso e il download del software pertinente. Il software client supportato è la versione 7.2, compatibile con il firmware convalidato FIPS 140-2 Livello 3 versione 7.0.3.

Gli elementi seguenti comportano costi aggiuntivi quando si usa il servizio HSM dedicato.

• L'uso di un dispositivo di backup locale dedicato può essere utilizzato con il servizio HSM dedicato, ma comporta costi aggiuntivi e dovrebbe essere acquistato direttamente da Thales.
• Il modulo di protezione hardware dedicato viene fornito con una licenza di 10 partizioni. Un cliente può richiedere più partizioni e pagare ulteriori licenze provenienti direttamente da Thales.
• HSM dedicato richiede un'infrastruttura di rete (rete virtuale, Gateway VPN e così via) e risorse come le macchine virtuali per la configurazione del dispositivo. Queste risorse comportano costi aggiuntivi e non sono inclusi nei prezzi del servizio HSM dedicato.

No. HSM dedicato di Azure fornisce solo moduli di protezione hardware con autenticazione basata su password.

No. Il servizio HSM dedicato di Azure non supporta i moduli di funzionalità.

Microsoft offre solo il modello HSM Thales Luna 7 A790 tramite il servizio HSM dedicato e non può ospitare dispositivi forniti dal cliente.

Il servizio HSM dedicato di Azure usa moduli di protezione hardware Thales Luna 7. Questi dispositivi non supportano funzionalità specifiche del modulo di protezione hardware di pagamento (ad esempio PIN o EFT) o certificazioni. Se si desidera che il servizio HSM dedicato di Azure supporti i moduli HSM di pagamento in futuro, trasmettere un feedback al rappresentante dell'account Microsoft.

A partire da ottobre 2022, Dedicated HSM è disponibile in 22 regioni. È pianificata la disponibilità di altre aree ed è possibile comunicare le proprie esigenze in tal senso al rappresentante dell'account Microsoft di riferimento.

• East US
• Stati Uniti orientali 2
• West US
• West US 2 (Regione Ovest degli Stati Uniti 2)
• Canada East
• Canada Central
• Stati Uniti centro-meridionali
• Southeast Asia
• India centrale
• India meridionale
• Japan East
• Japan West
• North Europe
• West Europe
• UK South
• UK West
• Australia East
• Australia sud-orientale
• Switzerland North
• Switzerland West
• Governo degli Stati Uniti, Virginia
• Governo degli Stati Uniti, Texas

Si usano gli strumenti, l'SDK o il software del client HSM forniti da Thales per eseguire operazioni crittografiche dalle proprie applicazioni. Il software è disponibile nel portale di supporto clienti thales. I clienti che usano il servizio HSM dedicato devono essere registrati per il supporto Thales e devono disporre di un ID cliente che consente l'accesso e il download del software pertinente.

Sì, è necessario usare il peering di rete virtuale all'interno di una regione per stabilire la connettività tra reti virtuali. Per la connettività tra aree, è necessario usare Gateway VPN.

Sì, è possibile sincronizzare moduli di protezione hardware locali con Dedicated HSM. La connettività VPN da punto a punto o da punto a sito può essere usata per stabilire la connettività con la rete locale/on-premises.

No. Azure Dedicated HSMs sono accessibili solo dall'interno della rete virtuale.

Sì, se si dispone di moduli di protezione hardware Thales Luna 7 on-premises. Esistono più metodi. Vedere la documentazione di Thales HSM.

• Windows, Linux, Solaris, AIX, HP-UX, FreeBSD
• Virtual: VMware, Hyper-V, Xen, KVM

Per avere disponibilità elevata, è necessario configurare la configurazione dell'applicazione client HSM per usare le partizioni di ogni modulo di protezione hardware. Vedere la documentazione del software client HSM thales.

HSM dedicato di Azure usa dispositivi Thales Luna 7 HSM modello A790 e supporta l'autenticazione basata su password.

PKCS#11, Java (JCA/JCE), Microsoft CAPI e CNG, OpenSSL

Yes. Per la guida alla migrazione appropriata di Thales, contattare il rappresentante Thales.

No. Il servizio HSM dedicato di Azure non supporta i moduli funzionali.

HSM dedicato di Azure è la scelta più appropriata per le aziende che eseguono la migrazione ad applicazioni locali di Azure che usano moduli di protezione hardware. I moduli di protezione hardware dedicati presentano un'opzione per eseguire la migrazione di un'applicazione con modifiche minime. Se le operazioni di crittografia vengono eseguite nel codice dell'applicazione in esecuzione in una macchina virtuale Azure o in un'app Web, è possibile usare HSM dedicato. In generale, può usare HSM dedicato il software con licenza a strappo eseguito in modelli IaaS (infrastruttura distribuita come servizio) che supportano i moduli di protezione hardware come archivio chiavi, ad esempio Gestione traffico per TLS senza chiave, ADCS (Servizi certificati Active Directory) o strumenti PKI simili, strumenti/applicazioni usati per la firma di documenti o la firma del codice oppure SQL Server (IaaS) configurato con TDE (Transparent Data Encryption) con chiave primaria in un modulo di protezione hardware che usa un provider EKM (Extensible Key Management). Azure Key Vault è adatto per le applicazioni "born-in-cloud" o per scenari di crittografia dei dati inattivi in cui i dati dei clienti vengono elaborati da PaaS (piattaforma come servizio) o scenari SaaS (Software as a Service), ad esempio Office 365 Customer Key, Azure Information Protection, Crittografia dischi di Azure, la crittografia di Azure Data Lake Store con chiave gestita dal cliente, Archiviazione di Azure crittografia con chiave gestita dal cliente e Azure SQL con chiave gestita dal cliente.

HSM dedicato di Azure è più adatto per gli scenari di migrazione in cui si esegue la migrazione di applicazioni locali a Azure che già usano moduli di protezione hardware, fornendo un metodo a basso attrito per la migrazione a Azure con modifiche minime all'applicazione. Se le operazioni di crittografia vengono eseguite nel codice dell'applicazione in esecuzione in una VM di Azure o in un'app Web, è possibile usare HSM dedicato. In generale, può usare HSM dedicato il software con licenza a strappo eseguito in modelli IaaS (infrastruttura distribuita come servizio) che supportano i moduli di protezione hardware come archivio chiavi, ad esempio:

• Gestione traffico per Keyless TLS
• ADCS (Servizi certificati Active Directory)
• Strumenti PKI simili
• Strumenti/applicazioni usati per la firma dei documenti
• Firma del codice
• SQL Server (IaaS) configurato con TDE (Transparent Database Encryption) con chiave primaria in un HSM usando un provider EKM (extensible key management)

No. Il provisioning del modulo di protezione hardware dedicato viene effettuato direttamente nello spazio di indirizzi IP privati di un cliente in modo che non sia accessibile da altri Azure o servizi Microsoft.

Yes. Ogni appliance HSM è completamente dedicata a un singolo cliente e nessun altro ha il controllo amministrativo una volta effettuato il provisioning e modificata la password dell’amministratore.

Microsoft non dispone di alcun controllo amministrativo o crittografico sul modulo di protezione hardware. Microsoft ha l'accesso a livello di monitoraggio tramite connessione alla porta seriale per recuperare i dati di telemetria di base, ad esempio la temperatura e l'integrità dei componenti, per consentire a Microsoft di fornire notifiche proattive dei problemi di integrità. Se necessario, il cliente può disabilitare questo account.

Il dispositivo HSM viene fornito con un utente predefinito admin con la password predefinita consueta. Microsoft non voleva avere password predefinite in uso mentre qualsiasi dispositivo si trova in un pool in attesa del provisioning da parte dei clienti. Questo non soddisfa i nostri rigorosi requisiti di sicurezza. Per questo motivo, viene impostata una password complessa, che viene scartata in fase di provisioning. Inoltre, al momento del provisioning viene creato un nuovo utente nel ruolo di amministratore denominato "amministratore tenant". L'utente "amministratore tenant" ha la password predefinita, che i clienti cambiano come prima azione al primo accesso al dispositivo appena sottoposto a provisioning. Questo processo garantisce elevati gradi di sicurezza e mantiene la promessa di un controllo amministrativo esclusivo per i nostri clienti. Si noti che l'utente "amministratore tenant" può essere usato per reimpostare la password dell'utente amministratore se un cliente preferisce usare tale account.

No. Microsoft non ha accesso alle chiavi archiviate nell'HSM dedicato allocato dal cliente.

No. HSM dedicato di Azure è un modulo HSM bare-metal disponibile come servizio leasing. Il nostro servizio non archivia i dati dei clienti. Tutti i materiali e i dati chiave vengono archiviati nell'appliance HSM del cliente. Ogni appliance HSM è completamente dedicata a un singolo cliente, sul quale il cliente ha il pieno controllo amministrativo.

Il cliente ha un controllo amministrativo completo, incluso l'aggiornamento di software/firmware se sono necessarie funzionalità specifiche da versioni del firmware diverse. Prima di apportare modifiche, consultare il Supporto Thales in merito al proprio scenario di aggiornamento software/firmware.

È possibile gestire moduli di protezione hardware dedicati accedendovi tramite SSH.

Il software client HSM Thales viene usato per gestire i moduli di protezione hardware e le partizioni.

Un cliente ha accesso completo ai log attività di HSM tramite syslog e SNMP. Un cliente deve configurare un server syslog o un server SNMP per ricevere i log o gli eventi dai moduli di protezione hardware.

Yes. È possibile inviare log dall'appliance HSM a un server syslog

Yes. La configurazione ad alta disponibilità e l'impostazione vengono eseguite nel software client HSM fornito da Thales. I moduli di protezione hardware dalla stessa rete virtuale o da altre reti virtuali nella stessa area o tra aree o moduli di protezione hardware locali connessi a una rete virtuale tramite VPN da sito a sito o da punto a punto possono essere aggiunti alla stessa configurazione a disponibilità elevata. Si noti che questa operazione sincronizza solo il materiale crittografico e non elementi di configurazione specifici, ad esempio i ruoli.

Yes. Devono soddisfare i requisiti di disponibilità elevata per Thales Luna 7 HSM

No.

Sedici membri di un gruppo a disponibilità elevata sono stati sottoposti a test a pieno regime con risultati eccellenti.

Non è prevista alcuna garanzia specifica per il tempo di attività per il servizio HSM dedicato. Microsoft garantisce l'accesso a livello di rete al dispositivo e quindi si applicano gli SLA di rete standard di Azure.

Azure data center dispongono di controlli di sicurezza fisici e procedurali estesi. In aggiunta, i moduli di protezione hardware dedicati sono ospitati in un'area ad accesso ulteriormente limitato del data center. Queste aree hanno più controlli di accesso fisico e video sorveglianza per una maggiore sicurezza.

Il servizio HSM dedicato usa appliance HSM Thales Luna 7 . Questi dispositivi supportano il rilevamento di manomissioni fisiche e logiche. Se si verificasse un evento di manomissione, i moduli HSM verrebbero automaticamente impostati su zero.

È consigliabile usare un dispositivo di backup HSM on-premises per eseguire backup periodici regolari dei moduli di protezione hardware per il disaster recovery. È necessario usare una connessione peer-to-peer o VPN da sito a sito a una workstation locale connessa al dispositivo HSM di backup.

Il supporto viene fornito sia da Microsoft che da Thales. Se si verifica un problema con l'hardware o l'accesso alla rete, inviare una richiesta di supporto a Microsoft e se si verifica un problema con la configurazione del modulo di protezione hardware, il software e lo sviluppo di applicazioni, inviare una richiesta di supporto a Thales. Se si verifica un problema indeterminato, inviare una richiesta di supporto a Microsoft, che coinvolgerà Thales in base alle esigenze.

Dopo aver effettuato la registrazione per il servizio, si riceverà un ID cliente Thales che consente la registrazione nel portale di supporto clienti Thales, consentendo l'accesso a tutto il software e alla documentazione, nonché di inviare richieste di supporto direttamente con Thales.

Microsoft non ha la possibilità di connettersi ai moduli di protezione hardware allocati ai clienti. I clienti devono aggiornare e applicare patch ai loro HSM.

Il modulo di protezione hardware dispone di un'opzione di riavvio dalla riga di comando, ma sono stati riscontrati problemi, in quanto il riavvio smette di rispondere in modo intermittente e per questo motivo per un riavvio più sicuro è consigliabile inviare una richiesta di supporto a Microsoft per richiedere il riavvio fisico del dispositivo.

Sì, il servizio HSM dedicato effettua il provisioning dei moduli di protezione hardware Thales Luna 7 convalidati in base allo standard FIPS 140-2 Livello 3.

Il servizio HSM dedicato effettua il provisioning di appliance HSM Thales Luna 7. Supportano un'ampia gamma di tipi e algoritmi di chiave crittografica, tra cui: supporto full suite B

• Asimmetrico:
  • RSA
  • DSA
  • Diffie-Hellman
  • Curva ellittica
  • Crittografia (ECDSA, ECDH, Ed25519, ECIES) con curve denominate, definite dall'utente e Brainpool, KCDSA
• Simmetrica:
  • AES-GCM
  • Triple Data Encryption Standard (Triple DES)
  • DES
  • ARIA, SEED
  • RC2
  • RC4
  • RC5
  • CAST
  • Hash/Message Digest/HMAC: SHA-1, SHA-2, SM3
  • Derivazione della chiave: SP 800-108 Counter Mode
  • Wrapping della chiave: SP 800-38F
  • Generazione di numeri casuali: DRBG approvato FIPS 140-2 (modalità CTR SP 800-90), conforme a BSI DRG.4

Yes. Il servizio HSM dedicato fornisce appliance HSM Thales Luna 7 modello A790 validate FIPS 140-2 Livello 3.

Il servizio HSM dedicato effettua il provisioning di appliance HSM Thales Luna 7. Questi dispositivi sono moduli di protezione hardware convalidati FIPS 140-2 Livello 3. Anche la configurazione distribuita predefinita, il sistema operativo e il firmware sono convalidati FIPS. Non è necessario eseguire alcuna azione per la conformità FIPS 140-2 Livello 3.

Prima di richiedere il deprovisioning, un cliente deve aver zeroizzato l'HSM usando gli strumenti client HSM forniti da Thales.

Il servizio HSM dedicato effettua il provisioning di moduli di protezione hardware Thales Luna 7. Ecco un riepilogo delle prestazioni massime per alcune operazioni:

• RSA-2048: 10.000 transazioni al secondo
• ECC P256: 20.000 transazioni al secondo
• AES-GCM: 17.000 transazioni al secondo

Il modulo di protezione hardware Thales Luna 7 modello A790 include una licenza per 10 partizioni nel costo del servizio. Il dispositivo ha un limite di 100 partizioni e l'aggiunta di partizioni fino al raggiungimento di questo limite comporta costi di licenza aggiuntivi e richiede l'installazione di un nuovo file di licenza nel dispositivo.

Il numero massimo di chiavi dipende dalla memoria disponibile. Il modello Thales Luna 7 in uso A790 ha 32 MB di memoria. I numeri seguenti sono applicabili anche alle coppie di chiavi se si usano chiavi asimmetriche.

• RSA-2048 - 19,000
• ECC-P256 - 91.000

La capacità varia in base agli specifici attributi delle chiavi impostati nel modello di generazione chiavi e al numero di partizioni.