HSM 및 FIPS 검증

한눈에 보기

NextPDF Enterprise 서명은 PKCS#11 표준을 통해 하드웨어 보안 모듈과 통합되며, FIPS 검증 모듈에서 암호화를 실행합니다. 이는 서명을 뒷받침하는 개인 키가 인증된 하드웨어 내부에 머무르고, 암호화 자체도 독립적으로 검증된 모듈 내부에서 실행된다는 의미입니다. 이 두 가지 보증 속성은 규제 대상이거나 높은 가치를 지닌 서명 워크플로가 의존하는 요소입니다.

이 페이지는 구매자를 위한 증명 및 보증 안내입니다. 서명 통합이 따르는 표준, 함께 사용할 수 있는 장치 클래스, 상호 운용성 입장, 도입을 확정하기 전에 요청할 수 있는 검증 증거를 설명합니다. 이 통합이 어떻게 구축되는지는 다루지 않습니다. 표준 적합성 개요는 규정 준수 및 적합성을 참조하세요.

하드웨어 보안 모듈 지원

하드웨어 보안 모듈은 개인 키를 생성하고 보관하며 사용자를 대신해 암호화 작업을 수행하는 인증된 장치이므로, 키 자료가 장치를 벗어나지 않습니다. NextPDF Enterprise는 PKCS#11을 사용하여 이러한 장치를 통해 서명합니다. PKCS#11은 암호화 정보를 보관하고 암호화 기능을 수행하는 장치를 위한 널리 채택된 표준 프로그래밍 인터페이스(Cryptoki라고 함)입니다. 또한 암호화 토큰에서 키를 관리하는 방식을 정의하므로, 단일 표준 통합으로 광범위한 장치를 지원할 수 있습니다.

이 통합은 공급업체별 인터페이스가 아니라 PKCS#11을 따르므로, 일반적인 하드웨어 키 보관 클래스 전반에서 작동합니다.

네트워크 및 어플라이언스 HSM은 서명 서비스 집합의 키 보관을 중앙 집중화하는 데 사용됩니다.
클라우드 HSM 서비스는 관리형 환경에서 실행되는 애플리케이션에 PKCS#11 표면을 제공합니다.
스마트 카드 및 서명 토큰은 서명자가 개인 장치에 키를 보관하는 경우에 사용됩니다.

하드웨어 키 보관은 장기 보관 서명 프로파일과 결합되어, 서명이 보호된 키에서 생성되면서도 수년간 검증 가능한 상태로 유지되도록 합니다. 서명 프로파일과 관련 표준은 규정 준수 및 적합성을 참조하세요.

FIPS 검증 암호화

암호화 보증 요구 사항이 있는 배포에서는 NextPDF Enterprise가 FIPS 검증 암호화 모듈로 작동합니다. FIPS 140-3은 암호화 모듈의 보안 요구 사항에 대한 미국 표준입니다. 이는 FIPS 140-2를 대체하며 국제 표준 ISO/IEC 19790과 일치합니다.

검증은 공급업체의 주장이 아니라 독립적인 프로세스입니다. 암호화 모듈 보안 요구 사항에 대한 모듈의 적합성은 정의된 어설션 집합에 대한 인증된 테스트를 통해 확립됩니다. 검증된 모듈은 검증 기관의 목록에 등재됩니다. 검증된 모듈을 사용한다는 것은 서명을 뒷받침하는 암호화가 검증되지 않은 코드가 아니라, 해당 독립 프로세스를 통과한 하드웨어 내부에서 실행된다는 의미입니다.

NextPDF Enterprise는 자체 FIPS 검증을 발급하지 않습니다. 검증된 모듈로 작동하므로 사용자의 서명이 해당 모듈의 보증을 상속받습니다. 어떤 모듈이 적용되는지는 배포하는 하드웨어 또는 클라우드 서비스에 따라 달라집니다.

상호 운용성 및 검증 증거

NextPDF Enterprise는 단일 공급업체가 아니라 표준을 준수하는 하드웨어와 상호 운용되도록 구축되었습니다. 상호 운용성 입장은 다음과 같습니다.

표준 인터페이스. 서명은 PKCS#11 표준을 통해 하드웨어에 도달하므로, 준수 인터페이스를 제공하는 장치는 클래스로 지원됩니다.
검증된 모듈. 암호화는 검증이 독립적으로 확립된 FIPS 검증 모듈에서 실행됩니다.
표준 기반 서명. 생성되는 서명은 지속적인 검증 가능성을 위한 장기 보관 수준을 포함하여 PAdES 기준 프로파일을 따릅니다. 규정 준수 및 적합성을 참조하세요.

도입을 확정하기 전에 이를 확인해야 하는 구매자와 감사자를 위해, NextPDF는 요청 시 다음을 포함한 증거를 제공할 수 있습니다.

서명 통합이 테스트되는 하드웨어 보안 모듈의 클래스와 대상 장치에 대한 상호 운용성 입장.
사용되는 FIPS 검증 모듈과 검증 기관을 통해 해당 검증을 확인할 수 있는 방법.
생성되는 서명 프로파일과 독립적인 검증자가 이를 검증하는 방법.

검증 보고서 요청

검증 보고서를 요청하거나 구매 전에 하드웨어 및 보증 요구 사항을 논의하려면 라이선스 포털을 통해 영업팀에 문의하세요. 대상 하드웨어 보안 모듈 또는 클라우드 키 서비스와 FIPS 보증 수준을 알려 주시면, 해당 요구 사항을 지원되는 장치 클래스와 사용 가능한 검증 증거에 매핑해 드리겠습니다.