Thales Luna

Thales Luna — это семейство аппаратных модулей безопасности (HSM, Hardware Security Module), разработанных компанией Thales Group (ранее подразделение Thales DIS, ранее — компания SafeNet, приобретённая Thales в 2014 году). Устройства предназначены для генерации, хранения и управления криптографическими ключами в высокозащищённых средах, а также для выполнения криптографических операций (шифрование, подпись, аутентификация) без возможности извлечения ключей в незащищённом виде. Luna HSM используются в финансовом секторе, государственных информационных системах, облачных сервисах, системах электронной подписи и управления цифровыми удостоверениями.

История

Разработка HSM-модулей под маркой Luna началась в конце 1990-х годов компанией Chrysalis-ITS, которая в 2000 году была переименована в SafeNet. В 2004 году SafeNet приобрела бизнес HSM у компании nCipher, что позволило расширить линейку продуктов. В 2014 году Thales Group завершила покупку SafeNet за 570 миллионов долларов США, после чего линейка Luna продолжила развитие под брендом Thales.

Первые модели Luna (например, Luna SA — сетевой HSM) были ориентированы на корпоративные PKI-инфраструктуры и банковские системы. В 2010-х годах появились модели с поддержкой облачных сред (Luna Cloud HSM) и гибридных развёртываний. В 2023 году Thales выпустила Luna 7 — седьмое поколение устройств, отличающееся повышенной производительностью и поддержкой алгоритмов постквантовой криптографии.

Архитектура и принцип работы

Аппаратная платформа

Все модели Luna HSM построены на специализированных криптографических процессорах (чипах), сертифицированных по стандартам FIPS 140-2/140-3 (уровень 3) и Common Criteria EAL 4+. Устройства имеют защищённый корпус с датчиками вскрытия, которые при попытке физического доступа стирают ключи (анти-тамперная защита). Ключи хранятся внутри модуля в зашифрованном виде и никогда не покидают его в открытом виде.

Программное обеспечение

Управление HSM осуществляется через фирменное ПО Luna Management Console (LMC) или через API (PKCS#11, Microsoft CryptoAPI, Java JCA/JCE, OpenSSL, KMIP). Для облачных развёртываний используется Luna Cloud HSM — виртуальный HSM, предоставляемый как услуга (HSMaaS).

Классификация моделей

По форме фактора и способу подключения HSM Luna делятся на три основных типа:

• Сетевые (Luna SA) — подключаются по Ethernet, поддерживают несколько клиентов одновременно. Используются в корпоративных ЦОД.
• USB-модули (Luna USB) — компактные устройства, подключаемые через USB-порт. Ориентированы на малые предприятия и тестовые среды.
• PCIe-платы (Luna PCIe) — встраиваются в серверные платформы. Обеспечивают максимальную производительность за счёт прямого подключения к шине.

Также выделяются Luna Cloud HSM (облачный сервис) и Luna Data Protection (программно-аппаратный комплекс для шифрования баз данных).

Применение

Финансовый сектор

Банки и платёжные системы используют Luna HSM для:

• Эмиссии и обработки транзакций по картам (EMV, Visa, Mastercard).
• Хранения мастер-ключей и PIN-кодов.
• Подписания финансовых сообщений (SWIFT, ISO 20022).

Государственные информационные системы

В России HSM Thales Luna применяются в системах электронного правительства, удостоверяющих центрах (УЦ) и инфраструктурах открытых ключей (PKI). Например, устройства используются для подписания сертификатов квалифицированной электронной подписи (КЭП) в соответствии с Федеральным законом № 63-ФЗ.

Облачные сервисы

Luna Cloud HSM интегрирован с платформами AWS, Microsoft Azure, Google Cloud и Alibaba Cloud. Позволяет арендовать криптографический модуль без покупки физического оборудования. В 2023 году Thales Luna была сертифицирована для использования в российских облачных провайдерах (например, Yandex Cloud, VK Cloud) в рамках программы импортозамещения.

Электронная подпись и PKI

HSM Luna используются для:

• Генерации и хранения корневых сертификатов.
• Подписания SSL/TLS-сертификатов.
• Управления ключами для электронного документооборота (ЭДО).

Сертификация и стандарты

Устройства Luna HSM сертифицированы по следующим стандартам:

• FIPS 140-2/140-3 (уровень 3) — федеральный стандарт США для криптографических модулей.
• Common Criteria EAL 4+ — международный стандарт безопасности.
• ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012 — поддержка российских криптоалгоритмов (в моделях для российского рынка).
• PCI DSS — стандарт безопасности платёжных карт.
• eIDAS — регламент ЕС для электронных подписей.

В России Thales Luna HSM включены в Единый реестр российских программ для электронных вычислительных машин и баз данных (приказ Минцифры № 486 от 29.09.2020) как оборудование, соответствующее требованиям импортозамещения.

Критика и ограничения

Несмотря на высокую степень защиты, HSM Thales Luna подвергаются критике за:

• Высокую стоимость — цены на физические модули начинаются от нескольких тысяч долларов, что ограничивает доступность для малого бизнеса.
• Сложность администрирования — для настройки и эксплуатации требуются квалифицированные специалисты по криптографии.
• Зависимость от поставщика — обновления прошивки и поддержка осуществляются только через Thales, что может быть проблемой в условиях санкций.
• Ограниченную совместимость с некоторыми российскими СКЗИ — хотя Thales Luna поддерживает ГОСТ, интеграция с отечественными криптопровайдерами (КриптоПро, VipNet) требует дополнительных настроек.

Интересные факты

• HSM Luna используются для хранения ключей подписи в системе электронного голосования в ряде стран (Эстония, Швейцария).
• В 2021 году Thales Luna HSM был выбран для защиты криптографических ключей в системе «Мир» (Национальная платёжная система России).
• Модель Luna SA 7 поддерживает до 10 000 транзакций в секунду при подписании RSA-2048, что делает её одной из самых производительных в классе.

См. также

• Аппаратный модуль безопасности
• Криптография
• PKI
• Thales Group

Источники

• Thales Group. «Luna HSM Product Family Overview» (2023).
• SafeNet. «History of Luna HSM» (2014).
• FIPS PUB 140-3. «Security Requirements for Cryptographic Modules» (2019).
• Common Criteria. «Certification Report for Thales Luna SA 7» (2022).
• Приказ Минцифры России № 486 от 29.09.2020 «Об утверждении перечня отечественного оборудования».
• «Thales Luna HSM: обзор и применение в России» — журнал «Банковские технологии», № 5, 2022.
• «Криптографические HSM: обзор рынка» — CNews, 2023.