Hardware-Sicher­heits­module (HSM) werden unter anderem in den Hinter­grund­sys­temen des elektro­ni­schen  Zahlungs­ver­kehrs zur Durch­führung sensi­tiver krypto­gra­phi­scher Opera­tionen verwendet. Die physi­schen Sicher­heits­ei­gen­schaften des HSM beein­flussen dabei die Anfor­de­rungen an die Einsatz­um­gebung. Bei starken physi­schen Sicher­heits­me­cha­nismen kann weitgehend auf organi­sa­to­rische Sicher­heits­maß­nahmen verzichtet werden, während die Umgebung bei schwachen physi­schen Sicher­heits­me­cha­nismen hohen Sicher­heits­maß­stäben genügen muss.
Kriterien für den Einsatz in elektro­ni­schen Zahlungs­sys­temen von Hardware-Sicher­heits­mo­dulen werden unter anderem von der Deutschen Kredit­wirt­schaft (DK) und von der Payment Card Industry (PCI) definiert. SRC ist als Gutachter bei der DK und bei PCI zur Begut­achtung von HSMs anerkannt.

Unsere Kompetenz

SRC erstellt Sicher­heits­gut­achten zu Hardware-Sicher­heits­mo­dulen und unter­stützt so Hersteller von Sicher­heits­mo­dulen, Netzbe­treiber und Acquirer beim Nachweis der an sie gestellten Sicher­heits­an­for­de­rungen. Mitar­beiter von SRC haben eine Vielzahl von  Sicher­heits­un­ter­su­chungen von Hardware und der Software von HSMs durch­ge­führt. Aufgrund unserer Kenntnis aller Aspekte des Zulas­sungs­ver­fahrens decken wir nicht nur Schwach­stellen auf, sondern führen unsere Kunden erfolg­reich zum Ziel: der termin­ge­rechten Zulassung ihrer Komponente.
Grund­sätzlich besteht die Möglichkeit, die Begut­ach­tungs­pro­zesse unter­schied­licher Verfahren zu kombi­nieren, so dass sich für den Hersteller Syner­gie­ef­fekte ergeben. So lässt sich z.B. eine PCI HSM-Evalu­ierung um Prüfungs­aspekte der DK erweitern.
Falls eine FIPS-140–2‑Zertifizierung benötigt wird, arbeitet SRC mit einem Partner­labor zusammen, das unter  Berück­sich­tigung der Prüfungs­er­geb­nisse von SRC die für eine FIPS-140–2‑Zerfifizierung benötigten zusätz­lichen Tests durchführt.

Unser Angebot

SRC begut­achtet

• Hardware und Software des HSM,
•  System­kon­zepte, krypto­gra­phische Verfahren, Zufalls­zah­len­ge­ne­ra­toren und Protokolle,
• Halbleiter (u.a. Prüfung der Resistenz gegenüber Seiten-Kanal-Angriffen, wie z. B. Simple Power Analysis SPA und Diffe­rential Power Analysis DPA),
• Organi­sa­to­rische Maßnahmen während der Entwicklung, der Produktion und dem Betrieb von HSMs.