SafeNet HSM 现为 Thales 旗下产品，广泛用于通用密码学、PKI 和密钥管理。本指南涵盖 SafeNet 的密钥管理方法，包括 KM Key 变体、密钥查找机制和实际应用场景。
SafeNet Luna HSM 概述
SafeNet Luna 是一系列 HSM，用于各行各业：
- PKI 证书颁发机构
- SSL/TLS 密钥保护
- 数据库加密
- 代码签名
- 文档签名
- 通用加密操作
与专注于支付的 HSM（Thales payShield、Futurex）不同，SafeNet Luna HSM 是针对性能和灵活性优化的通用设备。
Luna 与支付 HSM 对比
| 特性 | SafeNet Luna | 支付 HSM |
|---|---|---|
| 主要用途 | PKI、加密 | PIN、支付处理 |
| 密钥格式 | KM Key 变体 | Thales LMK、Futurex scheme |
| 标准 | PKCS#11、JCE | ANSI X9.24、PCI PIN |
| 部署 | 企业、云 | 银行、处理商 |
KM Key 变体系统
SafeNet 使用基于 KM Key 变体 的密钥管理系统来保护存储的密钥。
什么是 KM Key？
KM Key（密钥管理密钥）是 SafeNet 层次结构中的根密钥。它类似于 Futurex 中的 MFK 或 Thales 系统中的 LMK。
主要特性：
- 初始化期间在 HSM 内部生成
- 分成多个组件以确保安全
- 永远不会以明文形式导出
- 用于加密所有其他密钥
变体加密
SafeNet 通过在加密其他密钥之前将不同掩码与 KM Key 进行 XOR 运算来应用变体加密：
加密密钥 = E(KM_Key XOR 变体掩码, 明文密钥)
这确保不同密钥类型在密码学上相互分离。
常见变体掩码
| 密钥类型 | 变体用途 |
|---|---|
| 存储密钥 | 加密密钥以进行持久存储 |
| 会话密钥 | 保护临时密钥 |
| 导出密钥 | 包装密钥以进行导出 |
| 域密钥 | 按安全域分离密钥 |
密钥查找流程
SafeNet HSM 使用密钥查找机制来高效地查找和使用存储的密钥。
密钥查找工作原理
- 应用程序通过别名或句柄请求密钥
- HSM 在密钥存储中搜索匹配的条目
- 从安全存储中检索密钥
- 在 KM Key 变体下解密密钥
- 将密钥加载到加密处理器
- 执行操作
- 从工作内存中清除密钥
密钥句柄与别名
| 标识符 | 类型 | 描述 |
|---|---|---|
| 句柄 | 数字 | 自动生成的引用 |
| 别名 | 字符串 | 人类可读的名称 |
句柄在频繁操作时更快；别名更适合管理。
Luna 密钥管理架构
基于分区的安全性
SafeNet Luna 使用分区来隔离密钥和操作：
- 每个分区有自己的 KM Key
- 一个分区中的密钥无法访问另一个分区
- 分区可以分配给不同的应用程序
- 支持多租户部署
密钥备份和恢复
可以安全地备份密钥：
- 在备份密钥加密下导出密钥
- 将加密备份存储在外部
- 通过在相同备份密钥下导入来恢复
- 恢复后验证 KCV
实际应用场景
PKI 证书颁发机构
使用 SafeNet Luna 作为 CA：
- 在 HSM 内部生成 CA 私钥
- 密钥永远不会以明文形式离开 HSM
- 使用 HSM 签署证书
- 在单独的分区中存储中间 CA 密钥
- 强制执行密钥使用策略
数据库加密
保护数据库加密密钥：
- 在 HSM 中生成数据加密密钥（DEK）
- 在 KM Key 变体下加密 DEK
- 应用程序通过 API 检索 DEK
- 数据库使用 DEK 进行字段加密
- DEK 仅在操作期间缓存在内存中
云密钥管理
SafeNet Luna 用于云部署：
- 部署 Luna Cloud HSM
- 在云 HSM 中生成密钥
- 密钥受云 KM Key 保护
- 应用程序通过 REST API 访问
- 维护完整的审计跟踪
密钥导出和导入
导出密钥
从 SafeNet Luna 导出密钥时：
- 从 KM Key 变体中解密密钥
- 在目标密钥（合作伙伴的包装密钥）下加密密钥
- 返回加密密钥
- 包含 KCV 用于验证
导入密钥
导入密钥时：
- 密钥在包装密钥加密下到达
- HSM 使用包装密钥解密
- 在 KM Key 变体下加密密钥
- 将密钥存储在分区中
- 验证 KCV
常见问题
分区隔离
如果找不到密钥：
- 验证您正在查询正确的分区
- 检查分区认证
- 确保密钥存储在预期的分区中
密钥句柄失效
密钥句柄在以下情况下可能失效：
- HSM 重启（如果不是持久的）
- 分区重新初始化
- 密钥删除
使用别名作为持久引用。
性能考虑
密钥查找性能取决于：
- 分区中的密钥数量
- 使用密钥别名还是句柄
- HSM 负载和并发性
最佳实践
- 使用分区隔离不同的应用程序
- 一致地命名密钥，使用清晰的别名约定
- 定期备份，使用 Luna 备份机制
- 监控密钥使用，通过 HSM 审计日志
- 轮换密钥，根据策略执行
在线体验
使用我们的 SafeNet 密钥工具：
- 了解 KM Key 变体结构
- 解析 SafeNet 密钥格式
- 计算 KCV 进行验证
- 探索密钥管理概念
该工具完全在浏览器中运行——数据不会离开您的设备。