Enterprise редакция

HSM и аттестация по FIPS

Краткий обзор

Механизм подписания в NextPDF Enterprise подключается к аппаратным модулям безопасности (HSM) по стандарту PKCS#11 и выполняет криптографические операции на модулях, прошедших аттестацию по Federal Information Processing Standards (FIPS). Закрытый ключ, используемый для подписи, остаётся внутри сертифицированного оборудования, а криптографические операции выполняются внутри независимо аттестованного модуля. Так вы получаете две гарантии, на которые опираются регулируемые процессы подписания и процессы с повышенными требованиями к доверию.

Эта страница даёт покупателям подтверждающую информацию и уверенность. Она поясняет, каким стандартам следует интеграция подписания, с какими классами устройств она работает, каков статус совместимости и какие доказательства аттестации вы можете запросить, прежде чем принять решение. Она не описывает детали реализации. Обзор соответствия стандартам см. на странице Соответствие и конформность.

Поддержка аппаратных модулей безопасности

Аппаратный модуль безопасности — это сертифицированное устройство, которое генерирует и хранит закрытые ключи и выполняет за вас криптографические операции, так что ключевой материал никогда не покидает устройство. NextPDF Enterprise выполняет подписание через такие устройства с использованием PKCS#11. PKCS#11 — это широко распространённый стандартный программный интерфейс, также известный как Cryptoki, для устройств, которые хранят криптографическую информацию и выполняют криптографические функции. Он также определяет, как управляются ключи на криптографическом токене, что позволяет одной стандартной интеграции охватить широкий круг устройств.

Поскольку интеграция опирается на стандарт PKCS#11, а не на интерфейс конкретного производителя, она работает со всеми распространёнными классами аппаратного хранения ключей:

Сетевые и аппаратные HSM, используемые для централизованного хранения ключей в парках служб подписания.
Облачные службы HSM, предоставляющие интерфейс PKCS#11 приложениям, работающим в управляемой среде.
Смарт-карты и токены подписи, используемые, когда подписант хранит ключ на личном устройстве.

Аппаратное хранение ключей используется вместе с профилем долгосрочной архивной подписи, поэтому подпись создаётся с помощью защищённого ключа и остаётся проверяемой в течение многих лет. Сведения о профилях подписи и их стандартах см. на странице Соответствие и конформность.

Криптография, аттестованная по FIPS

Для развёртываний с требованиями к криптографическим гарантиям NextPDF Enterprise работает с криптографическими модулями, аттестованными по FIPS. FIPS 140-3 — это стандарт США, определяющий требования безопасности к криптографическим модулям. Он заменяет FIPS 140-2 и согласуется с международным стандартом ISO/IEC 19790.

Аттестация — это независимый процесс, а не заявление производителя. Соответствие модуля требованиям безопасности к криптографическим модулям подтверждается аккредитованным тестированием по определённому набору утверждений. Аттестующий орган ведёт перечень аттестованных модулей. Когда вы используете аттестованный модуль, криптографические операции, лежащие в основе подписи, выполняются внутри оборудования, прошедшего этот независимый процесс, а не в непроверенном коде.

NextPDF Enterprise не предоставляет собственную аттестацию FIPS; он работает с аттестованными модулями, поэтому ваш процесс подписания наследует их гарантию. Применимый модуль зависит от оборудования или облачной службы, которые вы развёртываете.

Почему это работает именно так

Интеграция ориентирована на стандартный интерфейс PKCS#11, а не на API конкретного производителя. Благодаря этому одна стандартная интеграция охватывает сетевые HSM, облачные службы ключей, смарт-карты и токены подписи как класс. NextPDF работает с аттестованными по FIPS модулями, а не выпускает собственную аттестацию. Аттестация привязана к криптографическому модулю, а не к вызывающему его программному обеспечению, поэтому наследование гарантии модуля — честная и устойчивая позиция. Хранение ключей заканчивается на границе устройства, и гарантия, которую подтверждает покупатель, — это опубликованная аттестация модуля у аттестующего органа. Это сохраняет путь подписания соответствующим стандартам и независимым от производителя, поэтому подпись создаётся с помощью защищённого ключа и остаётся независимо проверяемой.

Проектный контекст: Подписание с помощью HSM.

Совместимость и доказательства аттестации

NextPDF Enterprise рассчитан на работу с оборудованием, соответствующим стандартам, а не с одним производителем. Совместимость устроена так:

Стандартный интерфейс. Механизм подписания обращается к оборудованию через стандарт PKCS#11, поэтому устройства с соответствующим интерфейсом поддерживаются как класс.
Аттестованные модули. Криптографические операции выполняются на модулях, аттестованных по FIPS, чья аттестация подтверждена независимо.
Подписи на основе стандартов. Создаваемые подписи соответствуют базовым профилям PDF Advanced Electronic Signatures (PAdES), включая уровень долгосрочного архивного хранения для устойчивой проверяемости. См. Соответствие и конформность.

Если как покупателю или аудитору вам нужно подтвердить эти свойства, прежде чем принять решение, NextPDF может предоставить доказательства по запросу, в том числе:

Классы аппаратных модулей безопасности, на которых тестируется интеграция подписания, и статус совместимости для вашего целевого устройства.
Используемые модули, аттестованные по FIPS, и способ подтвердить их аттестацию у аттестующего органа.
Создаваемые профили подписи и способ их проверки независимым верификатором.

Запрос отчёта об аттестации

Чтобы запросить отчёт об аттестации или обсудить требования к оборудованию и гарантиям до покупки, обратитесь в отдел продаж через портал лицензий. Укажите ваш целевой аппаратный модуль безопасности или облачную службу ключей и ваш уровень гарантии FIPS. Мы сопоставим эти требования с поддерживаемыми классами устройств и доступными для них доказательствами аттестации.

Граница публикации

Эта страница документирует только внешне наблюдаемое поведение и поддерживаемую публичную поверхность API. Внутренние пути пространств имён, вспомогательные классы, таблицы механизмов, имена файлов runbook и префиксы тикетов выходят за рамки.