Preguntas más frecuentes

Un módulo de seguridad de hardware (HSM) es un dispositivo informático físico utilizado para proteger y administrar claves criptográficas. Las claves almacenadas en los módulos HSM se pueden usar para operaciones criptográficas. El material de la clave permanece de forma segura en módulos de hardware resistentes a manipulaciones y con evidencia de alteración. El módulo HSM solo permite que utilicen las claves las aplicaciones autenticadas y autorizadas. El material de la clave no sale nunca de los límites de protección del HSM.

Azure Dedicated HSM es un servicio basado en la nube que proporciona módulos HSM hospedados en centros de datos de Azure que se conectan directamente a la red virtual de un cliente. Estos módulos HSM son dispositivos de red HSM Thales Luna 7 dedicados. Se implementan directamente en el espacio de direcciones IP privadas de un cliente y Microsoft no tiene acceso a la funcionalidad criptográfica de los HSM. Solo el cliente tiene control administrativo y criptográfico completo de estos dispositivos. Los clientes son responsables de la administración del dispositivo y pueden obtener registros de actividad completos directamente desde los dispositivos. Los módulos HSM dedicados ayudan a los clientes a cumplir normas como FIPS 140-2 nivel 3, HIPAA, PCI-DSS, eIDAS y muchas otras.

Los clientes deben tener asignado un administrador de cuentas de Microsoft y cumplir el requisito monetario de cinco millones de dólares (5M USD) u otra cantidad superior en los ingresos totales confirmados de Azure anualmente para optar a la incorporación y uso de Azure Dedicated HSM.

Microsoft ha colaborado con Thales para proporcionar el servicio Azure Dedicated HSM. El dispositivo específico que se usa es HSM Thales Luna 7 modelo A790. Este dispositivo no solo proporciona firmware con certificación FIPS 140-2 nivel 3, sino que también ofrece baja latencia, alto rendimiento y alta capacidad con 10 particiones.

Los módulos HSM se utilizan para almacenar claves que se utilizan para funcionalidad criptográfica como TLS (seguridad de la capa de transporte), cifrado de datos, PKI (infraestructura de clave pública), DRM (administración de derechos digitales) y firma de documentos.

Los clientes pueden aprovisionar módulos HSM en regiones específicas con PowerShell o la interfaz de la línea de comandos. El cliente especifica a qué red virtual se conectarán los módulos HSM y, una vez aprovisionados, estarán disponibles en la subred designada, en las direcciones IP asignadas del espacio de direcciones IP privadas del cliente. Después, los clientes se pueden conectar a los módulos HSM mediante SSH para administrar los dispositivos, configurar conexiones de cliente HSM, inicializar módulos HSM, crear particiones y definir y asignar roles, como responsable de partición, responsable de criptografía y usuario de criptografía. A continuación, los clientes usarán las herramientas, el SDK y el software cliente de HSM proporcionados por Thales para llevar a cabo operaciones criptográficas desde las aplicaciones.

Thales proporciona todo el software para el dispositivo HSM una vez aprovisionado por Microsoft. El software está disponible en el portal de soporte técnico para clientes de Thales. Los clientes que usan el servicio Dedicated HSM deben registrarse en el soporte técnico de Thales y disponer de un id. de cliente que permite el acceso y descarga del software pertinente. El software cliente admitido es la versión 7.2, que es compatible con la versión 7.0.3 del firmware con certificación FIPS 140-2 nivel 3.

Los elementos siguientes generarán costos adicionales cuando se use el servicio Dedicated HSM.

• El uso de un dispositivo de copia de seguridad local dedicado es factible con el servicio Dedicated HSM; sin embargo, esto supondrá un costo adicional y deben proceder directamente de Thales.
• Dedicated HSM se proporciona con una licencia de 10 particiones. Si un cliente requiere más particiones, se generará un costo adicional para las licencias adicionales procedentes directamente de Thales.
• Dedicated HSM requiere una infraestructura de red (VNET, VPN Gateway, etc.) y recursos, como máquinas virtuales para la configuración del dispositivo. Estos recursos adicionales generarán costos adicionales y no se incluyen en los precios del servicio Dedicated HSM.

No. En este momento, Azure Dedicated HSM solo proporciona módulos HSM con autenticación basada en contraseña.

No. El servicio Azure Dedicated HSM no admite módulos de funcionalidad.

Microsoft solo ofrece el módulo HSM Thales Luna 7 modelo A790 mediante el servicio Dedicated HSM y no puede hospedar ningún servicio proporcionado por el cliente.

El servicio Azure Dedicated HSM usa dispositivos HSM Thales Luna 7. Estos dispositivos no admiten la funcionalidad específica de HSM de pago (por ejemplo, PIN o ETF) ni certificaciones. Si quiere que el servicio Azure Dedicated HSM admita módulos HSM de pago en el futuro, envíe sus comentarios a su representante de cuenta de Microsoft.

Desde octubre de 2022, Dedicated HSM está disponible en las 22 regiones que se indican a continuación. Además, está prevista la inclusión de más regiones. Si le interesan otras, coménteselo a su representante de cuenta Microsoft.

• Este de EE. UU.
• Este de EE. UU. 2
• Oeste de EE. UU.
• Oeste de EE. UU. 2
• Este de Canadá
• Centro de Canadá
• Centro-sur de EE. UU.
• Sudeste de Asia
• India central
• Sur de India
• Japón Oriental
• Japón Occidental
• Norte de Europa
• Oeste de Europa
• Sur de Reino Unido 2
• Oeste de Reino Unido
• Este de Australia
• Sudeste de Australia
• Norte de Suiza
• Oeste de Suiza
• US Gov - Virginia
• US Gov Texas

Se usan las herramientas, el SDK y el software cliente de HSM proporcionados por Thales para llevar a cabo operaciones criptográficas desde las aplicaciones. El software está disponible en el portal de soporte técnico para clientes de Thales. Los clientes que usan el servicio Dedicated HSM deben registrarse en el soporte técnico de Thales y disponer de un id. de cliente que permite el acceso y descarga del software pertinente.

Sí, deberá usar el emparejamiento de redes virtuales dentro de una región para establecer la conectividad entre redes virtuales. Para la conectividad entre regiones, debe usar VPN Gateway.

Sí, puede sincronizar los módulos HSM locales con Dedicated HSM. Puede usar conectividad VPN de punto a punto o de punto a sitio para establecer la conectividad con la red local.

No. Los dispositivos de Azure Dedicated HSM solo son accesibles desde dentro de la red virtual.

Sí, si se tienen módulos HSM Thales Luna 7. Existen varios métodos. Consulte la documentación de HSM de Thales.

• Windows, Linux, Solaris, AIX, HP-UX, FreeBSD
• Virtual: VMware, Hyper-V, Xen, KVM

Para tener alta disponibilidad, debe establecer la configuración de la aplicación cliente de HSM para utilizar particiones de cada HSM. Consulte la documentación del software cliente de HSM de Thales.

Azure Dedicated HSM usa dispositivos HSM Thales Luna 7 modelo A790 y admite la autenticación basada en contraseña.

PKCS#11, Java (JCA/JCE), Microsoft CAPI y CNG, OpenSSL

Sí. Póngase en contacto con su representante de Thales para obtener la guía de migración de Thales adecuada.

No. El servicio Azure Dedicated HSM no admite módulos de funcionalidad.

Azure Dedicated HSM es la opción adecuada para las empresas que migran a Azure aplicaciones locales que usan módulos HSM. Los módulos HSM dedicados son una opción para migrar una aplicación con cambios mínimos. Si las operaciones criptográficas se realizan en el código de la aplicación que se ejecuta en una máquina virtual de Azure o una aplicación web, pueden usar Azure Dedicated HSM. En general, el software empaquetado que se ejecuta en modelos de IaaS (infraestructura como servicio) y que admite los módulos HSM como un almacén de claves puede usar HSM dedicado, como un administrador de tráfico para TLS sin clave, ADCS (Servicios de certificados de Active Directory) o herramientas similares de PKI, herramientas o aplicaciones que se usan para la firma de documentos, firma de código o un servidor SQL Server (IaaS) configurado con TDE (cifrado de base de datos transparente) con la clave maestra en un módulo HSM mediante un proveedor de EKM (administración extensible de claves). Azure Key Vault es adecuado para aplicaciones "nacidas en la nube" o para el cifrado en escenarios en reposo en los que el software PaaS (plataforma como servicio) procesa los datos del cliente, o escenarios SaaS (software como servicio) como la clave de cliente de Office 365, Azure Information Protection, Azure Disk Encryption, el cifrado de Azure Data Lake Store con clave administrada por el cliente, el cifrado de Azure Storage con clave administrada por el cliente y Azure SQL con clave administrada por el cliente.

Azure Dedicated HSM es más adecuado para escenarios de migración. Por ejemplo, si va a migrar a Azure aplicaciones locales que ya usan módulos HSM. Esto proporciona una opción de baja fricción para la migración a Azure con cambios mínimos en la aplicación. Si las operaciones criptográficas se realizan en el código de la aplicación que se ejecuta en una máquina virtual de Azure o una aplicación web, se puede usar Dedicated HSM. En general, el software empaquetado que se ejecuta en modelos de IaaS (infraestructura como servicio) y que admite los módulos HSM como un almacén de claves puede usar HSM dedicado, por ejemplo:

• Traffic Manager para TLS sin clave
• ADCS (servicios de certificados de Active Directory)
• Herramientas similares de PKI
• Herramientas y aplicaciones usadas para firmar documentos
• Firma de código
• SQL Server (IaaS) configurado con TDE (cifrado de base de datos transparente) con la clave maestra en un módulo HSM mediante un proveedor de EKM (administración extensible de claves)

No. Dedicated HSM se aprovisiona directamente en el espacio de direcciones IP privadas de un cliente y, por tanto, no es accesible por otros servicios de Azure o Microsoft.

Sí. Cada dispositivo HSM está totalmente dedicado a un solo cliente y nadie más tiene control administrativo una vez se ha aprovisionado y se ha cambiado la contraseña del administrador.

Microsoft no tiene ningún control administrativo ni criptográfico sobre el módulo HSM. Microsoft tiene acceso de nivel de supervisión a través de la conexión de puerto serie para recuperar datos de telemetría básicos, como el mantenimiento de los componentes y la temperatura. Esto permite a Microsoft proporcionar una notificación proactiva de los problemas de mantenimiento. Si es necesario, el cliente puede deshabilitar esta cuenta.

El dispositivo HSM se suministra con un usuario administrador predeterminado con su contraseña predeterminada habitual. Microsoft no quería tener contraseñas predeterminadas en uso mientras los dispositivos se encontraban en un grupo a la espera de que los aprovisionaran los clientes, ya que no se cumplirían los estrictos requisitos de seguridad. Por este motivo, hemos establecido una contraseña segura que se descarta en el momento del aprovisionamiento. Además, cuando se realiza el aprovisionamiento, se crea un usuario con un rol de administrador denominado "tenant admin". Este usuario tiene la contraseña predeterminada, que los clientes deben cambiar como primera acción al iniciar sesión en el dispositivo recién aprovisionado. Este proceso garantiza altos niveles de seguridad y nos ayuda a mantener nuestra promesa de ofrecer un control administrativo exclusivo a los clientes. Tenga en cuenta que el usuario "tenant admin" puede emplearse para restablecer la contraseña de usuario administrador si un cliente prefiere usar esa cuenta.

No. Microsoft no tiene acceso a las claves almacenadas en un módulo HSM dedicado asignado a un cliente.

No. Azure Dedicated HSM es un módulo HSM baremetal para el servicio de concesión. Nuestro servicio no almacena datos de clientes. Todos los materiales y datos de claves se almacenan en el dispositivo HSM de los clientes. Cada dispositivo HSM está totalmente dedicado a un único cliente del que tiene control administrativo total.

El cliente tiene control administrativo total, incluida la actualización de software o firmware si se requieren características específicas de otras versiones del firmware. Antes de realizar cambios, consulte a Microsoft acerca de la actualización, poniéndose en contacto con HSMRequest@microsoft.com

Puede administrar los módulos HSM dedicados mediante el acceso a ellos con SSH.

El software cliente de HSM de Thales se utiliza para administrar las particiones y los HSM.

El cliente tiene acceso completo a los registros de actividad del HSM mediante syslog y SNMP. El cliente deberá configurar un servidor syslog o SNMP para recibir los eventos o los registros de los módulos HSM.

Sí. Puede enviar registros desde el dispositivo HSM a un servidor syslog

Sí. La configuración de alta disponibilidad se realiza en el software cliente de HSM proporcionado por Thales. Los módulos HSM de la misma red virtual o de otras redes virtuales en la misma región o entre regiones y los módulos HSM locales conectados a una red virtual mediante una VPN de sitio a sitio o de punto a punto se pueden agregar a la misma configuración de alta disponibilidad. Tenga en cuenta que esto sincroniza solo material clave y no elementos de configuración específicos como los roles.

Sí. Deben cumplir los requisitos de alta disponibilidad de los módulos HSM Thales Luna 7.

No.

Se han sometido a prueba 16 miembros de un grupo de alta disponibilidad a pleno rendimiento y se han obtenido excelentes resultados.

No existe ninguna garantía de tiempo de actividad específico para el servicio Dedicated HSM. Microsoft garantizará el acceso de nivel de red al dispositivo y, por lo tanto, se aplican los SLA estándar de redes de Azure.

Los centros de datos de Azure tienen controles de seguridad física y de procedimiento exhaustivos. Además, los módulos HSM dedicados se hospedan en un área de acceso más restringido del centro de datos. Estas áreas tienen controles de acceso físico adicionales y cámaras de vídeo de vigilancia para mayor seguridad.

El servicio Dedicated HSM usa dispositivos HSM Thales Luna 7. Estos dispositivos admiten la detección de alteraciones físicas y lógicas. Si alguna vez se diese un evento de alteración, los módulos HSM se graban con ceros automáticamente.

Se recomienda usar un dispositivo HSM local de respaldo para realizar la copia de seguridad periódica de los HSM para la recuperación ante desastres. Deberá usar una conexión VPN de sitio a sitio o de punto a punto a una estación de trabajo local conectada a un dispositivo de copia de seguridad de HSM.

Microsoft y Thales ofrecen soporte técnico. Si tiene algún problema con el hardware o el acceso de red, presente una solicitud de soporte técnico a Microsoft. Si tiene algún problema con el desarrollo de aplicaciones, el software y la configuración de HSM, presente una solicitud de soporte técnico a Thales. Si tiene un problema indeterminado, presente una solicitud de soporte técnico a Microsoft. Si es necesario, se recurrirá a Thales.

Después de registrarse en el servicio, se le proporcionará un id. de cliente de Thales que le permitirá registrarse en el portal de soporte técnico de cliente de Thales. De este modo, tendrá acceso a todo el software y la documentación y podrá realizar solicitudes de soporte técnico directamente a Thales.

Microsoft no puede conectarse a los módulos HSM asignados a los clientes. Los clientes deben actualizar y aplicar las revisiones en los módulos HSM.

HSM tiene una opción de reinicio de línea de comandos, pero se están experimentando problemas de falta de respuesta de forma intermitente. Por este motivo, para un reinicio seguro, se recomienda que presente una solicitud de soporte técnico a Microsoft para que el dispositivo se reinicie físicamente.

Sí, Dedicated HSM aprovisiona módulos HSM Thales Luna 7 que cuentan con certificación FIPS 140-2 nivel 3.

El servicio Dedicated HSM aprovisiona dispositivos HSM Thales Luna 7. Estos dispositivos admiten una amplia gama de tipos de claves criptográficas y algoritmos, lo que incluye: compatibilidad total con Suite B

• Asimétricos:
  • RSA
  • DSA
  • Diffie-Hellman
  • Curva elíptica
  • Criptografía (ECDSA, ECDH, Ed25519, ECIES) con curvas con nombre, definidas por el usuario, Brainpool, KCDSA
• Simétricos:
  • AES-GCM
  • Triple DES
  • DES
  • ARIA, SEED
  • RC2
  • RC4
  • RC5
  • CAST
  • Hash/Message Digest/HMAC: SHA-1, SHA-2, SM3
  • Derivación de claves: Modo contador SP 800-108
  • Ajuste de clave: SP 800-38F
  • Generación de números aleatorios: DRBG aprobado por FIPS 140-2 (modo SP 800-90 CTR), compatible con BSI DRG.4

Sí. El servicio Dedicated HSM aprovisiona los dispositivos HSM Thales Luna 7 modelo A790 que cuentan con certificación FIPS 140-2 nivel 3.

El servicio Dedicated HSM aprovisiona dispositivos HSM Thales Luna 7. Estos dispositivos son módulos HSM con certificación FIPS 140-2 nivel 3. La configuración predeterminada que se implementa, el sistema operativo y el firmware también tienen certificación FIPS. No es necesario realizar ninguna acción para el cumplimiento de FIPS 140-2 nivel 3.

Antes de solicitar el desaprovisionamiento, el cliente se debe ejecutar la función Zeorize en el dispositivo HSM con las herramientas de cliente de HSM proporcionadas por Thales.

Dedicated HSM aprovisiona módulos HSM Thales Luna 7. Este es un resumen de rendimiento máximo para algunas operaciones:

• RSA-2048: 10 000 transacciones por segundo
• ECC P256: 20 000 transacciones por segundo
• AES-GCM: 17 000 transacciones por segundo

El módulo HSM Thales Luna 7 modelo A790 usado incluye una licencia para 10 particiones en el costo del servicio. Tiene un límite de 100 particiones y, si se alcanza este número, es posible que se incurra en costes de licencia adicionales y que se requiera la instalación de un nuevo archivo de licencia en el dispositivo.

El número máximo de claves es una función de la memoria disponible. El dispositivo Thales Luna 7 modelo A790 en uso tiene 32 MB de memoria. Las cifras siguientes también son aplicables a los pares de claves si se usan claves asimétricas.

• RSA-2048: 19 000
• ECC-P256: 91 000

La capacidad variará según los atributos de clave específicos establecidos en la plantilla de generación de claves y el número de particiones.