Enterprise edición

Validación de HSM y FIPS

De un vistazo

La firma de NextPDF Enterprise se conecta a los módulos de seguridad por hardware (HSM) a través de PKCS#11 y ejecuta la criptografía con módulos validados según los Federal Information Processing Standards (FIPS). La clave privada que sustenta una firma permanece dentro de hardware certificado, y la criptografía se ejecuta dentro de un módulo validado de forma independiente. Se obtienen así las dos propiedades de garantía de las que dependen los flujos de firma regulados y de alto valor.

Esta página ofrece pruebas y garantías a los compradores. Explica los estándares que sigue la integración de firma, las clases de dispositivos con las que funciona, la postura de interoperabilidad y la evidencia de validación que se puede solicitar antes de asumir un compromiso. No describe los detalles de implementación. Para una descripción general de la conformidad con los estándares, consultar Cumplimiento y conformidad.

Compatibilidad con módulos de seguridad por hardware

Un módulo de seguridad por hardware es un dispositivo certificado que genera y custodia claves privadas, y realiza operaciones criptográficas en nombre del entorno, de modo que el material de la clave nunca abandona el dispositivo. NextPDF Enterprise firma mediante estos dispositivos usando PKCS#11. PKCS#11 es la interfaz de programación estándar de amplia adopción, también conocida como Cryptoki, para dispositivos que almacenan información criptográfica y realizan funciones criptográficas. También define cómo se gestionan las claves en un token criptográfico, lo que permite que una única integración estándar alcance una amplia gama de dispositivos.

Dado que la integración sigue PKCS#11 en lugar de una interfaz específica de cada proveedor, funciona con las clases comunes de custodia de claves por hardware:

HSM de red y de tipo appliance que se utilizan para centralizar la custodia de claves en flotas de servicios de firma.
Servicios de HSM en la nube que presentan una interfaz PKCS#11 a las aplicaciones que se ejecutan en un entorno gestionado.
Tarjetas inteligentes y tokens de firma que se utilizan cuando la persona firmante custodia la clave en un dispositivo personal.

La custodia de claves por hardware se combina con el perfil de firma de archivado a largo plazo, de modo que una firma se genera desde una clave protegida y permanece verificable durante años. Consultar Cumplimiento y conformidad para conocer los perfiles de firma y sus estándares.

Criptografía validada según FIPS

Para despliegues con requisitos de garantía criptográfica, NextPDF Enterprise opera con módulos criptográficos validados según FIPS. FIPS 140-3 es el estándar de los Estados Unidos para los requisitos de seguridad de los módulos criptográficos. Sustituye a FIPS 140-2 y se alinea con el estándar internacional ISO/IEC 19790.

La validación es un proceso independiente, no una afirmación del proveedor. La conformidad de un módulo con los requisitos de seguridad de los módulos criptográficos se establece mediante pruebas acreditadas frente a un conjunto definido de aserciones. La autoridad de validación enumera los módulos validados. Al usar un módulo validado, la criptografía que respalda una firma se ejecuta dentro de hardware que ha superado ese proceso independiente, en lugar de en código no verificado.

NextPDF Enterprise no emite su propia validación FIPS; opera con módulos validados para que la firma herede su garantía. El módulo aplicable depende del hardware o del servicio en la nube que se despliegue.

Por qué funciona así

La integración se dirige a la interfaz estándar PKCS#11, no a una API de un proveedor. Una única integración estándar alcanza entonces, como clase, los HSM de red, los servicios de claves en la nube, las tarjetas inteligentes y los tokens de firma. NextPDF opera con módulos validados según FIPS en lugar de emitir su propia validación. La validación se asocia a un módulo criptográfico, no al software que lo invoca, por lo que heredar la garantía de un módulo es la postura honesta y duradera. La custodia de claves termina en el límite del dispositivo, y la garantía que confirma un comprador es la validación publicada del módulo ante la autoridad de validación. Así, la ruta de firma se mantiene conforme a los estándares y neutral respecto al proveedor, de modo que una firma se genera desde una clave protegida y permanece verificable de forma independiente.

Contexto de diseño: Firma respaldada por HSM.

Interoperabilidad y evidencia de validación

NextPDF Enterprise está diseñado para interoperar con hardware conforme a los estándares, no con un único proveedor. La postura de interoperabilidad es la siguiente:

Interfaz estándar. La firma accede al hardware a través del estándar PKCS#11, de modo que los dispositivos con una interfaz conforme se admiten como clase.
Módulos validados. La criptografía se ejecuta con módulos validados según FIPS cuya validación se establece de forma independiente.
Firmas basadas en estándares. Las firmas producidas siguen los perfiles de referencia de las PDF Advanced Electronic Signatures (PAdES), incluido el nivel de archivado a largo plazo para una verificabilidad duradera. Consultar Cumplimiento y conformidad.

Para los compradores o auditores que necesitan confirmarlo antes de asumir un compromiso, NextPDF puede proporcionar evidencia previa solicitud, que incluye:

Las clases de módulos de seguridad por hardware frente a las que se prueba la integración de firma, y la postura de interoperabilidad para el dispositivo de destino.
Los módulos validados según FIPS en uso, y cómo confirmar su validación con la autoridad de validación.
Los perfiles de firma producidos, y la forma en que un verificador independiente los valida.

Solicitar un informe de validación

Para solicitar un informe de validación o tratar los requisitos de hardware y garantía antes de la compra, ponerse en contacto con el equipo de ventas a través del portal de licencias. Indicar el módulo de seguridad por hardware o servicio de claves en la nube de destino y el nivel de garantía FIPS. Relacionaremos ese requisito con las clases de dispositivos compatibles y con la evidencia de validación disponible para él.

Límite de publicación

Esta página documenta únicamente el comportamiento observable externamente y la superficie de API pública compatible. Las rutas de espacios de nombres internos, las clases auxiliares, las tablas de mecanismos, los nombres de archivo de los runbooks y los prefijos de tickets quedan fuera del alcance.