YubiHSM 2 FIPS (FIPS 140-3), USB-A Nano, Yubico

YubiHSM 2 FIPS (FIPS 140-3)

YubiHSM 2 FIPS — версія апаратного модуля безпеки YubiHSM 2, криптографічний модуль якої валідовано NIST за стандартом FIPS 140-3. Загальний рівень валідації — Level 3. Ключі генеруються та використовуються всередині пристрою, тому їх неможливо отримати у відкритому вигляді навіть у разі зламу операційної системи, зараження шкідливим ПЗ чи крадіжки диска. Копію ключа можна зробити лише в зашифрованому вигляді для резервного модуля, якщо адміністратор це дозволив. Модуль у форм-факторі Nano повністю ховається в порту USB-A сервера.

YubiHSM 2 FIPS обирають організації, яким сертифікації FIPS вимагають договір, аудит, іноземний партнер або регулятор. Для захисту облікових записів користувачів призначені ключі безпеки YubiKey 5 FIPS.

Сертифікація YubiHSM 2 FIPS за FIPS 140-3

• Сертифікат: CMVP #5302, YubiHSM 2 Cryptographic Module з прошивкою 2.4.1.
• Рівень валідації: Overall Level 3.
• Термін дії: з 3 червня 2026 року до 2 червня 2031 року.

Попередня версія YubiHSM 2 FIPS з прошивкою 2.2.0 мала сертифікат FIPS 140-2, який з 22 вересня 2026 року перебуває в Historical List. Для нових проєктів актуальна версія FIPS 140-3.

FIPS 140 — стандарт уряду США з вимогами до криптографічних модулів. Сертифікат стосується конкретної моделі та версії прошивки. Він не означає відповідності українським нормативам щодо захисту інформації.

Для чого використовують YubiHSM 2 FIPS

• Захист кореневого та проміжних ключів центру сертифікації, зокрема в Microsoft Active Directory Certificate Services.
• Підпис коду, документів і програмних оновлень у проєктах, де вимагається сертифікований криптомодуль.
• Захист ключів фінансових, платіжних і кастодіальних сервісів.
• Захист ключів у системах IoT і на периферійних серверах.
• Зберігання ключів шифрування баз даних і застосунків.

Можливості

• Інтерфейси: PKCS#11, Microsoft CNG через YubiHSM Key Storage Provider, нативні бібліотеки для C і Python. YubiHSM SDK має відкритий код.
• Алгоритми: RSA 2048, 3072 і 4096; ECC (зокрема secp256r1, secp256k1, secp384r1, secp521r1, Brainpool); EdDSA (Ed25519); ECDH (для всіх кривих, крім curve25519); SHA-1 і SHA-2; HMAC; AES-CCM для обгортання (wrap) ключів. Перелік алгоритмів, схвалених у межах сертифіката, наведено в Security Policy на сайті NIST.
• Генератор справжніх випадкових чисел (TRNG) і атестація ключів, згенерованих у модулі.
• Розмежування доступу за доменами безпеки й ролями.
• До 16 одночасних сесій. Модулем можна користуватися через мережу за допомогою YubiHSM Connector.
• Резервне копіювання ключів у зашифрованому вигляді на інший YubiHSM 2 FIPS. Відновлення можна налаштувати за схемою M з N.
• Журнал аудиту з хеш-ланцюжком подій, тож непомітно змінити записи неможливо.

Порівняння моделей YubiHSM 2

Якщо вимоги FIPS немає, функціонально достатньо YubiHSM 2 v2.4.

Документи

• Сертифікат FIPS 140-3, CMVP #5302, і Security Policy — сайт NIST
• Технічний опис YubiHSM 2 (PDF, англійською)
• Документація YubiHSM 2 (англійською)
• YubiHSM SDK і утиліти — сайт Yubico

Замовлення

YubiHSM 2 FIPS постачається під замовлення: ціну й термін постачання узгоджуємо під кожен запит.

• Для юридичних осіб — безготівковий розрахунок без ПДВ за рахунком і поставка за договором.
• Можна замовити один модуль або кілька, наприклад основний і резервний.
• В одному замовленні можна поєднувати YubiHSM 2 FIPS з ключами безпеки YubiKey 5 FIPS.
• Гарантія — 12 місяців.

Щоб отримати пропозицію, скористайтеся кнопкою «Запит для компанії» на цій сторінці: вкажіть модель, кількість і контакти.

NAI працює з 2019 року та є офіційним авторизованим E-Commerce партнером Yubico в Україні. Усі пристрої ми отримуємо безпосередньо від виробника або від визначеного ним дистриб’ютора.

Питання та відповіді

Чим YubiHSM 2 FIPS відрізняється від звичайного YubiHSM 2?

Функціонально це той самий модуль. Різниця в тому, що криптомодуль FIPS-версії з прошивкою 2.4.1 пройшов незалежну валідацію NIST за FIPS 140-3 і має сертифікат CMVP #5302. FIPS-версію обирають, коли сертифікація є вимогою договору, аудиту чи партнера.

Що означає Overall Level 3?

FIPS 140-3 має чотири рівні безпеки. Порівняно з Level 2, Level 3 додає вимоги до фізичного захисту від спроб доступу до модуля й автентифікацію на основі ідентичності оператора. Для порівняння: ключі YubiKey 5 FIPS 140-3 мають Overall Level 2.

Чи працює модуль у режимі FIPS одразу після покупки?

Модуль налаштовує адміністратор за процедурою, описаною в Security Policy до сертифіката #5302 на сайті NIST. Налаштування для роботи в затвердженому режимі варто виконати до генерації робочих ключів.

Чи можна перетворити звичайний YubiHSM 2 на FIPS-версію?

Ні. Сертифікат стосується конкретного модуля з конкретною прошивкою, а прошивку пристроїв Yubico оновити неможливо. Якщо сертифікація FIPS потрібна, одразу замовляйте YubiHSM 2 FIPS.

Що буде з ключами, якщо модуль вийде з ладу?

Ключі можна заздалегідь скопіювати на інший YubiHSM 2 FIPS у зашифрованому вигляді. Тому зазвичай замовляють щонайменше два модулі: основний і резервний. Без резервної копії ключі з пошкодженого модуля відновити неможливо.