Deutsch
Menü

TPM vs. HSM vs. Secure Element: Ort, Zweck, Schlüsselschutz, Zertifizierung

Alle drei sind spezielle Hardware, die kryptografische Schlüssel erzeugt und speichert und Signieren oder Entschlüsseln intern ausführt, ohne private Schlüssel herauszugeben. Sie unterscheiden sich darin, was sie schützen und wo sie sitzen. Ein TPM steckt in jedem PC oder Server, zeichnet den Bootzustand dieses Rechners auf, weist ihn nach und schützt an diesen Rechner gebundene Schlüssel. Ein HSM ist ein spezielles Gerät, das die wichtigsten Schlüssel einer Organisation an einem Ort verwahrt; es bildet den Kern von Zertifizierungsstellen, Zahlungssystemen und Cloud-Schlüsselverwaltungsdiensten und bewältigt große Mengen an Signatur- und Entschlüsselungsvorgängen. Ein Secure Element ist ein kleiner manipulationssicherer Chip in Smartcards und Smartphones, der Zahlungs- und Identitätsnachweise in Geräten schützt, die Menschen bei sich tragen.

MerkmalTPMHSMSecure Element
Ort und BauformEin separater Chip auf der Hauptplatine eines PCs oder Servers; auch als Firmware in der CPU oder im SoC möglich (fTPM)Eine PCIe-Karte oder ein netzwerkgebundenes Gerät; auch als Cloud-Dienst angebotenEin kleiner Chip in Smartcards, SIM-Karten oder auf der Platine eines Smartphones oder IoT-Geräts; kann auch in einen SoC integriert sein
HauptzweckDen Bootzustand des Rechners aufzeichnen und nachweisen sowie an ihn gebundene Schlüssel schützenWichtige Schlüssel einer Organisation an einem Ort schützen und Signatur- und Entschlüsselungsanfragen vieler Systeme bedienenZahlungs-, Identitäts- und Mobilfunk-Teilnehmernachweise in Geräten schützen, die Menschen bei sich tragen
Typische Geräte und NutzerPCs und ServerZertifizierungsstellen, Banken und Zahlungsdienstleister, Schlüsselverwaltungsdienste (KMS) in Rechenzentren und CloudsSmartcards wie Kreditkarten und Mitarbeiterausweise, SIMs, Smartphones, IoT-Geräte
Wie Schlüssel geschützt werdenSchlüssel werden im TPM erzeugt, der private Teil verlässt es nie im Klartext; Sealing kann einen Schlüssel an PCR-Werte binden, sodass er nur bei korrektem Bootzustand freigegeben wirdSchlüssel werden im Gerät erzeugt und gespeichert; Anwendungen bitten es, „mit diesem Schlüssel zu signieren“, und erhalten nur das Ergebnis; Benutzerrollen und ein Audit-Trail werden verwaltetSchlüssel und Nachweise liegen auf dem Chip, und Anwendungen auf dem Chip (Applets) führen Authentifizierung und Signatur aus
Krypto-LeistungGering; große Datenmengen verschlüsselt die CPU mit einem vom TPM freigegebenen SchlüsselHoch; dafür gebaut, viele Signatur- und Schlüsseloperationen fortlaufend zu verarbeitenGering; geeignet zum Authentifizieren oder Signieren kurzer Daten
Manipulationssicherheit und ZertifizierungEin separater Chip ist manipulationssicher; ein fTPM stützt sich auf den Schutz des Hauptprozessors. Je nach Produkt nach Common Criteria oder FIPS 140 zertifiziertLöscht seine Schlüssel, wenn es einen Öffnungsversuch erkennt; viele Produkte sind nach Normen wie FIPS 140-3 zertifiziertManipulationssicherheit auf Smartcard-Niveau, auch Gegenmaßnahmen gegen Seitenkanal- und Fehlerinjektionsangriffe werden bewertet; viele sind nach Common Criteria (ISO/IEC 15408) evaluiert
AttestierungEine Kernfunktion: PCR-Werte werden mit einem Schlüssel signiert, der das TPM nicht verlassen kann (ein Quote), für die Remote AttestationKeine Kernfunktion; manche Produkte können nachweisen, dass ein Schlüssel intern erzeugt wurde und nicht exportierbar istDient dem Nachweis, dass ein Schlüssel auf dem Chip erzeugt wurde und der Chip echt ist
Kosten und GrößeGünstig; ein Bauteil des PCs, ein fTPM braucht kein zusätzliches BauteilAm teuersten und größten; Dienste, die nicht ausfallen dürfen, setzen mehrere Geräte redundant einAm kleinsten; passt in Karten und kleine Geräte und ist dank Massenfertigung pro Stück günstig
Typischer EinsatzSealing von Schlüsseln für die Festplattenverschlüsselung, Measured Boot, Prüfung des Gerätezustands vor dem NetzwerkzugangSignaturschlüssel von Zertifizierungsstellen, Zahlungsschlüssel, oberste KMS-Schlüssel, Code-Signing-Schlüssel für SoftwareKontaktloses Bezahlen, Teilnehmerauthentifizierung mit SIM und eSIM, elektronische Reisepässe und Ausweise, Authentifizierung von IoT-Geräten

Die Zahlenwerte sind typische Größenordnungen und variieren je nach Prozessgeneration und Produkt.

Wann welche Variante?

TPM
Auf PCs und Servern, wenn an den Bootzustand gebundene Schlüssel geschützt werden sollen (etwa für die Festplattenverschlüsselung) oder einem Server nachgewiesen werden soll, dass der Rechner die richtige Software gebootet hat.
HSM
Wenn die wichtigsten Schlüssel einer Organisation, etwa Signaturschlüssel einer Zertifizierungsstelle oder Zahlungsschlüssel, an einem Ort bewacht werden müssen, während viele Systeme sie nutzen. Auch dann, wenn Vorschriften oder Audits verlangen, dass Schlüssel in einem zertifizierten Gerät verarbeitet werden.
Secure Element
In Karten, Smartphones und IoT-Geräten, die in die Hände von Angreifern geraten können, wenn Zahlungs- oder Identitätsnachweise und gerätespezifische Schlüssel gegen physische Angriffe geschützt werden müssen.
Gemeinsam
Systeme nutzen sie häufig nebeneinander: Ein Server weist seinen Bootzustand mit einem TPM nach, die kritischen Schlüssel des Dienstes liegen in einem HSM, und das Smartphone des Nutzers bewahrt Zahlungsschlüssel in einem Secure Element auf.

Häufige Fragen

Was ist der Unterschied zwischen einem TPM und einem HSM?

Ein TPM sitzt in einem einzelnen Rechner, zeichnet dessen Bootzustand auf, weist ihn nach und schützt an ihn gebundene Schlüssel; es ist relativ langsam. Ein HSM ist ein spezielles Gerät, das die wichtigen Schlüssel einer Organisation verwahrt und Signatur- und Entschlüsselungsanfragen vieler Systeme mit hoher Leistung bearbeitet. Beide folgen dem Prinzip, Schlüssel intern zu verarbeiten, ohne sie herauszugeben; sie unterscheiden sich in Umfang und Rolle.

Sind ein Secure Element und ein TEE dasselbe?

Nein. Ein Secure Element ist ein separater manipulationssicherer Chip mit eigenem Prozessor und Speicher. Ein TEE (vertrauenswürdige Ausführungsumgebung) wie Arm TrustZone schafft eine isolierte Ausführungsumgebung im Hauptprozessor und teilt Kerne und Caches mit dem normalen Betriebssystem. Smartphones nutzen oft beides, etwa den Fingerabdruckabgleich im TEE, während die wertvollsten Schlüssel im Secure Element liegen.

Ist ein fTPM so sicher wie ein separater TPM-Chip?

Die Schnittstelle ist dieselbe, der Schutz aber nicht. Ein fTPM läuft in einer isolierten Umgebung im Hauptprozessor, braucht also keinen zusätzlichen Chip, kann aber von Schwachstellen in der Firmware des Prozessors und von Seitenkanalangriffen betroffen sein. Ein separater Chip lässt sich gezielt so bauen, dass er physischen Angriffen widersteht. Die Wahl hängt davon ab, welchen Angriffen man standhalten muss.

Was ist der Unterschied zwischen FIPS 140-3 und Common Criteria?

FIPS 140-3 ist eine in den Programmen der USA und Kanadas verwendete Norm, die Sicherheitsanforderungen an kryptografische Module festlegt, gegliedert in vier Sicherheitsstufen zunehmender Strenge. Common Criteria (ISO/IEC 15408) ist eine internationale Norm, bei der ein Produkt gegen für es definierte Sicherheitsziele evaluiert wird; die Tiefe der Evaluierung wird durch Vertrauenswürdigkeitsstufen (EAL) und ähnliche Maße ausgedrückt. HSMs werden üblicherweise nach FIPS 140-3 validiert, Smartcards und Secure Elements nach Common Criteria, manche Produkte haben beides.

Verständnis prüfen

Welche Hauptaufgabe des in PCs usw. verbauten TPM (Trusted Platform Module) ist richtig?

  1. AEine Spezialschaltung zur schnelleren Bildschirmdarstellung
  2. BEin Bauteil zur Verwaltung der CPU-Kühlung
  3. CEs stellt Sicherheitsfunktionen bereit, etwa Schlüssel sicher zu erzeugen und zu verwahren, Aufzeichnungen über gestartete Software zu halten und diesen Zustand zu bescheinigen
Antwort und Erläuterung anzeigen

Antwort: C. Es stellt Sicherheitsfunktionen bereit, etwa Schlüssel sicher zu erzeugen und zu verwahren, Aufzeichnungen über gestartete Software zu halten und diesen Zustand zu bescheinigen

Ein TPM ist ein gegen äußere Manipulation geschützter Sicherheitschip (oder eine in die CPU integrierte Funktion), der Schlüssel erzeugt und speichert, kryptografische Verarbeitung und Zufallszahlenerzeugung ausführt und Hashwerte gestarteter Software aufzeichnet. Wird z. B. der Schlüssel der Festplattenverschlüsselung nur bei korrektem Startzustand freigegeben, lassen sich Daten auch dann kaum lesen, wenn die Festplatte entnommen oder die Start-Software umgeschrieben wird.

Welche Aufgabe hat ein HSM (Hardware-Sicherheitsmodul)?

  1. AEin schnelles Speichergerät mit eingebauter Verschlüsselungsfunktion zum Speichern großer Mengen verschlüsselter Daten
  2. BEin Gerät, das Schlüssel in einem manipulationssicheren Gehäuse erzeugt und verwahrt und Verarbeitungen wie Signieren und Entschlüsseln ausführt, ohne die Schlüssel herauszugeben
  3. CEin Netzwerkgerät, das den Netzwerkverkehr überwacht und unzulässige Pakete oder Angriffsverkehr erkennt und blockiert
Antwort und Erläuterung anzeigen

Antwort: B. Ein Gerät, das Schlüssel in einem manipulationssicheren Gehäuse erzeugt und verwahrt und Verarbeitungen wie Signieren und Entschlüsseln ausführt, ohne die Schlüssel herauszugeben

Ein HSM ist ein spezielles Gerät zum Schutz etwa der Signaturschlüssel von Zertifizierungsstellen, von Schlüsseln für den Zahlungsverkehr oder der obersten Schlüssel eines Cloud-Schlüsselverwaltungsdienstes (KMS). Schlüssel werden im HSM erzeugt und sind so gebaut, dass sie es nicht im Klartext verlassen können; Anwendungen erteilen Aufträge wie „Signiere mit diesem Schlüssel“ und erhalten nur das Ergebnis. Das Gerät besitzt Manipulationssicherheit und löscht etwa beim Versuch, es zu öffnen, die Schlüssel, und viele Produkte sind nach Standards wie FIPS 140-3 zertifiziert. Secure Elements in Smartphones und das TPM in PCs schützen Schlüssel nach einem ähnlichen Prinzip, wenn auch in kleinerem Maßstab.

Welche Beschreibung der Manipulationssicherheit (Tamper Resistance) von Sicherheitschips wie in IC-Karten ist richtig?

  1. ADie Eigenschaft, dass ein Chip auch bei Nässe nicht kaputtgeht
  2. BDie Eigenschaft, physische Angriffe wie das Öffnen des Chips oder das Aufsetzen von Messspitzen zu erschweren und die darin enthaltenen Geheimnisse zu schützen, indem z. B. bei Erkennung Schlüssel gelöscht werden
  3. CDie Eigenschaft, dass ein Chip auch bei hohen Temperaturen schnell arbeitet
Antwort und Erläuterung anzeigen

Antwort: B. Die Eigenschaft, physische Angriffe wie das Öffnen des Chips oder das Aufsetzen von Messspitzen zu erschweren und die darin enthaltenen Geheimnisse zu schützen, indem z. B. bei Erkennung Schlüssel gelöscht werden

Manipulationssicherheit ist die Eigenschaft, Angriffen standzuhalten, die den Chip zerlegen oder Messspitzen auf interne Leitungen setzen, um Geheimnisse zu entnehmen. Kombiniert werden Maßnahmen wie: Erkennung, wenn ein die Oberfläche bedeckendes Metallleitungsnetz (Schirm) durchtrennt wird, Erkennung von Anomalien bei Licht, Temperatur und Spannung, Verschlüsselung oder komplizierte Anordnung interner Leitungen und das Löschen von Schlüsseln bei erkannter Anomalie. Bewertet wird auch der Schutz gegen Seitenkanäle und Fault Injection.

  1. Welche Beschreibung der Remote Attestation (Fernbescheinigung) ist richtig?
  2. Welche Beschreibung eines Fault-Injection-Angriffs (Fehlerinjektion) ist richtig?
  3. DEK bezeichne den Datenverschlüsselungsschlüssel (Data Encryption Key) und KEK den Schlüsselverschlüsselungsschlüssel (Key Encryption Key). Welche Beschreibung von Envelope Encryption, wie sie etwa bei Cloud-Speicher eingesetzt wird, ist richtig?

Übungsfragen zu Hardwaresicherheit

Wichtige Begriffe erklärt

TPM
Trusted Platform Module. Sicherheitschip bzw. -funktion zum Erzeugen und Speichern von Schlüsseln, Protokollieren von Messwerten gestarteter Software und Bescheinigen des Zustands.
HSM (Hardware-Sicherheitsmodul)
Ein spezielles Gerät, das kryptografische Schlüssel sicher erzeugt und verwahrt und Verarbeitungen wie Signieren und Entschlüsseln intern ausführt, ohne die Schlüssel herauszugeben. Es besitzt Manipulationssicherheit und löscht die Schlüssel, wenn es etwa ein gewaltsames Öffnen erkennt. Verwendet wird es zum Schutz etwa der Signaturschlüssel von Zertifizierungsstellen, von Schlüsseln für den Zahlungsverkehr und der obersten Schlüssel von Cloud-Schlüsselverwaltungsdiensten (KMS). Viele Produkte sind nach Standards wie FIPS 140-3 zertifiziert. Neben PCIe-Karten und Netzwerkgeräten wird es auch als Cloud-Dienst angeboten.
Manipulationssicherheit (Tamper Resistance)
Eigenschaft, Geheimnisse im Inneren zu schützen, indem physischen Angriffen wie dem Öffnen des Chips oder dem Aufsetzen von Messspitzen widerstanden wird und bei Erkennung z. B. Schlüssel gelöscht werden.
Remote Attestation
Mechanismus, bei dem ein Gerät den Zustand der in ihm laufenden Software mit einem Schlüssel im Chip signiert und einem entfernten Server vorlegt, damit dieser prüfen kann, ob es vertrauenswürdig ist.
Measured Boot
Mechanismus, bei dem in jeder Bootphase der Hashwert der nächsten Software fortlaufend in z. B. einem TPM aufgezeichnet wird, sodass der Bootzustand später überprüft werden kann.
TEE (vertrauenswürdige Ausführungsumgebung)
Hardwaregeschützte Ausführungsumgebung, die auch vom normalen OS isoliert ist. Führt sicherheitskritische Verarbeitung wie Schlüsselhandhabung und Authentifizierung aus. Z. B. Arm TrustZone.
Envelope Encryption
Ein Verfahren, bei dem Daten mit einem Datenverschlüsselungsschlüssel (DEK) verschlüsselt werden und der DEK mit einem separaten Schlüsselverschlüsselungsschlüssel (KEK) verschlüsselt (gewrappt) und zusammen mit den Daten gespeichert wird. Der KEK liegt im KMS oder HSM und verlässt es nicht, während große Datenmengen lokal verschlüsselt werden können. Wird der KEK erneuert, müssen nicht alle Daten, sondern nur die kleinen DEKs neu verschlüsselt werden. Es ist bei der Verschlüsselung von Cloud-Speicher und Datenbanken weit verbreitet.

Verwandte Vergleiche