# AWS - CloudHSM Enum

{{#include ../../../banners/hacktricks-training.md}}

## HSM - ハードウェアセキュリティモジュール

Cloud HSMは、セキュアな暗号鍵ストレージのためのFIPS 140レベル2認証を受けた**ハードウェアデバイス**です（CloudHSMはハードウェアアプライアンスであり、仮想化サービスではありません）。これは、5.3.13がプリロードされたSafeNetLuna 7000アプライアンスです。ファームウェアのバージョンは2つあり、どちらを選ぶかは正確なニーズに基づいています。一つはFIPS 140-2準拠用で、もう一つは使用可能な新しいバージョンです。

CloudHSMの特異な特徴は、物理デバイスであり、したがって**他の顧客と共有されない**ことです。一般的に言われるように、マルチテナントではありません。これは、あなたのワークロード専用に提供される専用のシングルテナントアプライアンスです。

通常、デバイスは容量がある場合、15分以内に利用可能ですが、一部のゾーンではそうでない場合があります。

これはあなた専用の物理デバイスであるため、**鍵はデバイスに保存されます**。鍵は**別のデバイスに複製する**か、オフラインストレージにバックアップするか、スタンバイアプライアンスにエクスポートする必要があります。**このデバイスはS3やKMSなどのAWSの他のサービスによってバックアップされません**。

**CloudHSM**では、**サービスを自分でスケールする必要があります**。選択した暗号化アルゴリズムに基づいて、暗号化ニーズを処理するために十分なCloudHSMデバイスをプロビジョニングする必要があります。\
KMSのスケーリングはAWSによって行われ、自動的に需要に応じてスケールしますので、使用が増えると必要なCloudHSMアプライアンスの数も増える可能性があります。ソリューションをスケールする際にはこれを考慮し、ソリューションにオートスケーリングがある場合は、最大スケールがサービスするために十分なCloudHSMアプライアンスで考慮されていることを確認してください。

スケーリングと同様に、**CloudHSMのパフォーマンスはあなた次第です**。パフォーマンスは使用する暗号化アルゴリズムや、データを暗号化するために鍵にアクセスまたは取得する頻度によって異なります。鍵管理サービスのパフォーマンスはAmazonによって処理され、需要に応じて自動的にスケールします。CloudHSMのパフォーマンスは、より多くのアプライアンスを追加することで達成され、より高いパフォーマンスが必要な場合は、デバイスを追加するか、より高速なアルゴリズムに暗号化方法を変更します。

あなたのソリューションが**マルチリージョン**の場合、第二のリージョンにいくつかの**CloudHSMアプライアンスを追加し、プライベートVPN接続を使用してリージョン間の接続性を確保する**必要があります。マルチリージョンソリューションがある場合、**鍵を複製し、運用しているリージョンに追加のCloudHSMデバイスを設定する方法を考える必要があります**。非常に迅速に、複数のリージョンに分散した6台または8台のデバイスを持つシナリオに入る可能性があり、暗号化鍵の完全な冗長性を実現します。

**CloudHSM**は、セキュアな鍵ストレージのためのエンタープライズクラスのサービスであり、**エンタープライズの信頼の根源として使用できます**。PKIおよびX509実装の証明書機関鍵を保存できます。対称アルゴリズム（AESなど）で使用される対称鍵に加えて、**KMSは対称鍵のみを保存し物理的に保護します（証明書機関として機能できません）**。したがって、PKIおよびCA鍵を保存する必要がある場合、CloudHSMを1台または2台、または3台使用することが解決策となる可能性があります。

**CloudHSMはKMSよりもかなり高価です**。CloudHSMはハードウェアアプライアンスであるため、CloudHSMデバイスをプロビジョニングするための固定コストがあり、その後、アプライアンスを運用するための時間単位のコストがあります。コストは、特定の要件を満たすために必要なCloudHSMアプライアンスの数によって掛け算されます。\
さらに、SafeNet ProtectVソフトウェアスイートなどのサードパーティソフトウェアの購入においても考慮が必要で、統合にかかる時間と労力も考慮する必要があります。鍵管理サービスは使用ベースであり、持っている鍵の数や入出力操作に依存します。鍵管理は多くのAWSサービスとのシームレスな統合を提供するため、統合コストは大幅に低くなるはずです。コストは暗号化ソリューションにおける二次的な要因と考慮されるべきです。暗号化は通常、セキュリティとコンプライアンスのために使用されます。

**CloudHSMでは、あなたのみが鍵にアクセスできます**。詳細に入ることなく、CloudHSMでは自分の鍵を管理します。**KMSでは、あなたとAmazonが鍵を共同管理します**。AWSには悪用に対する多くのポリシー保護があり、**どちらのソリューションでもあなたの鍵にアクセスすることはできません**。主な違いは、鍵の所有権と管理に関するコンプライアンスであり、CloudHSMでは、これはあなたが管理し、維持し、あなたにのみ独占的にアクセスできるハードウェアアプライアンスです。

### CloudHSMの提案

1. 常に**HAセットアップ**でCloudHSMを展開し、**別のアベイラビリティゾーンに少なくとも2台のアプライアンス**を配置し、可能であれば、AWSの別のリージョンまたはオンプレミスに3台目を展開してください。
2. **CloudHSM**を**初期化**する際は注意してください。このアクションは**鍵を破壊します**ので、鍵の別のコピーを持っているか、絶対に必要ないことを確認してください。
3. CloudHSMは**特定のファームウェア**およびソフトウェアのバージョンのみを**サポート**しています。更新を行う前に、ファームウェアまたはソフトウェアがAWSによってサポートされていることを確認してください。アップグレードガイドが不明瞭な場合は、AWSサポートに連絡して確認できます。
4. **ネットワーク構成は変更しないでください。** AWSのデータセンターにあり、AWSが基本ハードウェアを監視しています。これは、ハードウェアが故障した場合、彼らがあなたのために交換することを意味しますが、故障を知っている場合のみです。
5. **SysLogフォワードは削除または変更しないでください**。常に**SysLogフォワーダーを追加**して、ログを自分の収集ツールに向けることができます。
6. **SNMP**構成は、ネットワークおよびSysLogフォルダと同じ基本的な制限があります。これは**変更または削除しないでください**。**追加の**SNMP構成は問題ありませんが、アプライアンスに既にあるものを変更しないようにしてください。
7. AWSからのもう一つの興味深いベストプラクティスは、**NTP構成を変更しないこと**です。変更した場合に何が起こるかは明確ではないため、ソリューションの残りの部分で同じNTP構成を使用しない場合、2つの時間ソースが存在する可能性があることを考慮してください。このことを認識し、CloudHSMが既存のNTPソースに留まる必要があることを理解してください。

CloudHSMの初期起動料金は、あなたの使用のために専用のハードウェアアプライアンスを割り当てるために$5,000で、その後、CloudHSMを運用するための時間単位の料金が現在$1.88で、月額約$1,373です。

CloudHSMを使用する最も一般的な理由は、規制上の理由で満たす必要があるコンプライアンス基準です。**KMSは非対称鍵のデータサポートを提供していません。CloudHSMは非対称鍵を安全に保存することができます**。

**公開鍵はプロビジョニング中にHSMアプライアンスにインストールされる**ため、SSHを介してCloudHSMインスタンスにアクセスできます。

### ハードウェアセキュリティモジュールとは

ハードウェアセキュリティモジュール（HSM）は、暗号鍵を生成、保存、管理し、機密データを保護するために使用される専用の暗号デバイスです。これは、暗号機能をシステムの他の部分から物理的および電子的に隔離することによって、高いレベルのセキュリティを提供するように設計されています。

HSMの動作は、特定のモデルや製造元によって異なる場合がありますが、一般的には以下のステップが行われます。

1. **鍵生成**: HSMは、安全な乱数生成器を使用してランダムな暗号鍵を生成します。
2. **鍵保存**: 鍵は**HSM内に安全に保存され、認可されたユーザーまたはプロセスのみがアクセスできます**。
3. **鍵管理**: HSMは、鍵のローテーション、バックアップ、取り消しなど、さまざまな鍵管理機能を提供します。
4. **暗号操作**: HSMは、暗号化、復号化、デジタル署名、鍵交換など、さまざまな暗号操作を実行します。これらの操作は、**HSMの安全な環境内で実行され、無許可のアクセスや改ざんから保護されます**。
5. **監査ログ**: HSMは、すべての暗号操作とアクセス試行をログに記録し、コンプライアンスおよびセキュリティ監査の目的で使用できます。

HSMは、安全なオンライン取引、デジタル証明書、安全な通信、データ暗号化など、幅広いアプリケーションに使用できます。金融、医療、政府など、高いレベルのセキュリティが求められる業界でよく使用されます。

全体として、HSMが提供する高いレベルのセキュリティにより、**生の鍵を抽出することは非常に困難であり、試みることはしばしばセキュリティの侵害と見なされます**。ただし、**特定のシナリオ**では、**生の鍵が特定の目的のために認可された担当者によって抽出される可能性があります**。 

### 列挙
```
TODO
```
{{#include ../../../banners/hacktricks-training.md}}
