哪个 Linux x86 硬件密钥库？

Question

我在 DMZ 中终止 SSL/TLS，我不得不假设该机器将被黑客入侵。此时我的证书将被泄露。

以前我曾使用 nCipher 硬件密钥库/加速器来解决这个问题。这些卡甚至不会向 root 透露私钥。该卡在板上执行加密和解密，并针对物理攻击进行了强化。获取密钥的唯一方法是将智能卡读卡器连接到卡本身。

我找不到有关如何重现此方法的信息。这是否是当今专业交换机和防火墙的领域？

这个旧页面引用了一些旧硬件： http://www.kegel.com/ssl/hw.html#cards

Answer 1

如果您已经选择了 SSL 实现，那么它将限制您对硬件的选择。请优先选择官方版本长期支持的硬件。

在使用防篡改硬件来保护你的密钥之前，值得考虑一些其他问题：

被盗证书仅在 DNS 被劫持时才有用。（SSL 使用 Diffie-Hellman 来防止被动攻击，因此窃贼需要是一个主动的中间人，冒充您。）

SSL 的安全性取决于最弱信任的 CA（证书颁发机构）。过去两年，浏览器有 2 个主要 CA（Comodo、DigiNotar）公开遭到入侵。如果可能（显然不是在网络商务中），请在没有 CA 的情况下安装证书。

为您的证书应用最短的实际到期时间。

入侵 SSL 终端的人不需要您的证书即可造成重大损害。他可以隐藏在那里，引导和过滤流量（例如窃取信用卡号），然后使用隐写术以不可察觉的方式检索结果。

商业加密硬件的安全记录非常糟糕。曾出现过定时攻击、故障注入（电压、辐射）攻击和传统漏洞。它们是封闭的盈利产品；它们有强烈的动机隐藏缺陷——RSA SecureID 案例就充分表明了这一点。