Enterprise 版本

HSM 与 FIPS 验证

概览

NextPDF Enterprise 的签名通过 PKCS#11 连接硬件安全模块（HSM），并使用经过美国联邦信息处理标准（FIPS）验证的模块执行密码学运算。签名背后的私钥始终保留在经过认证的硬件内，而密码学运算则在经过独立验证的模块内执行。你由此获得受监管和高价值签名流程所依赖的两项保障属性。

本页面向买家提供证明与保障。它说明此签名集成遵循哪些标准、支持哪些设备类别、互操作性立场如何，以及你在做出承诺前可以索取哪些验证依据。它不描述实现细节。关于标准符合性的概览，请参阅合规与符合性。

硬件安全模块支持

硬件安全模块是一种经过认证的设备，可代你生成并保管私钥、执行密码学运算，因此密钥素材永远不会离开该设备。NextPDF Enterprise 通过 PKCS#11 使用这类设备进行签名。PKCS#11 是被广泛采用的标准编程接口（又称 Cryptoki），用于连接保存密码学信息并执行密码学功能的设备。它还定义了如何在密码学令牌上管理密钥，这使得单一标准集成能够覆盖广泛的设备。

由于此集成遵循 PKCS#11 而非特定厂商的接口，因此可跨常见的各类硬件密钥保管方式运行：

网络型与设备型 HSM，用于为一批签名服务集中保管密钥。
云 HSM 服务，向运行在托管环境中的应用程序提供 PKCS#11 接口。
智能卡与签名令牌，用于签名者将密钥保存在个人设备上的场景。

硬件密钥保管与长期归档签名配置文件相搭配，使签名既源自受保护的密钥，又能在多年后保持可验证。关于各签名配置文件及其遵循的标准，请参阅合规与符合性。

FIPS 验证的密码学

对于有密码学保障要求的部署，NextPDF Enterprise 会使用经过 FIPS 验证的密码学模块运行。FIPS 140-3 是美国针对密码学模块安全要求制定的标准。它取代了 FIPS 140-2，并与国际标准 ISO/IEC 19790 对齐。

验证是一套独立程序，而非厂商单方面的声明。模块是否符合密码学模块安全要求，由经认可的测试按一组明确定义的判据逐项确立。验证机构会将通过验证的模块列入清单。当你使用通过验证的模块时，签名背后的密码学是在通过该独立程序的硬件内运行，而不是运行在未经验证的代码中。

NextPDF Enterprise 并不自行颁发 FIPS 验证；它使用通过验证的模块运行，使你的签名继承这些模块的保障。实际适用哪个模块，取决于你部署的硬件或云服务。

为何采用这种方式

此集成面向 PKCS#11 标准接口，而非某个厂商 API。因此，单一标准集成即可作为一整类，覆盖网络 HSM、云密钥服务、智能卡与签名令牌。NextPDF 使用经过 FIPS 验证的模块运行，而不自行颁发验证。验证附着于密码学模块本身，而非调用它的软件，因此继承模块的保障才是诚实且持久的立场。密钥保管止于设备边界，买家所确认的保障，是该模块在验证机构处公布的验证状态。这使签名路径既符合标准又与厂商无关，让签名源自受保护的密钥，并保持可独立验证。

设计背景：HSM 支撑的签名。

互操作性与验证依据

NextPDF Enterprise 的设计目标是与符合标准的硬件互操作，而非绑定单一厂商。互操作性立场如下：

**标准接口。**签名通过 PKCS#11 标准连接硬件，因此凡是具备符合标准接口的设备，都会作为一类获得支持。
**通过验证的模块。**密码学运算由经过 FIPS 验证的模块执行，其验证由独立程序确立。
**以标准为基础的签名。**所生成的签名遵循 PDF 高级电子签名（PAdES）基线配置文件，包含用于持久可验证性的长期归档级别。请参阅合规与符合性。

如果你是买家或审计人员，需要在做出承诺前确认这些事项，NextPDF 可按请求提供依据，包括：

此签名集成所测试过的硬件安全模块类别，以及针对你目标设备的互操作性立场。
所使用的经过 FIPS 验证的模块，以及如何向验证机构确认其验证状态。
所生成的签名配置文件，以及独立验证工具如何验证这些配置文件。

请求验证报告

若要请求验证报告，或在购买前讨论你的硬件与保障需求，请通过授权门户联系销售团队。请告诉我们你的目标硬件安全模块或云密钥服务，以及你的 FIPS 保障级别。我们会将你的需求对应到支持的设备类别，以及可为其提供的验证依据。

发布边界

本页面仅记录外部可观察的行为与受支持的公开 API 界面。内部命名空间路径、辅助类、机制表、运行手册文件名以及工单前缀均不在范围之内。