Un Hardware Security Module (HSM) est un dispositif physique dédié, résistant aux altérations, qui génère, stocke et gère les clés cryptographiques. Contrairement à un stockage de clés logiciel, un HSM garantit que les clés privées ne quittent jamais la frontière matérielle en clair.
Voyez un HSM comme un coffre-fort bancaire pour les clés cryptographiques. Tout comme un coffre-fort bancaire dispose de parois renforcées, de serrures à combinaison et de systèmes d'alarme, un HSM possède des scellés inviolables, des mécanismes actifs de réponse aux intrusions (par exemple l'effacement immédiat des clés en cas de détection d'intrusion physique) et des processeurs cryptographiques dédiés qui exécutent les opérations sur les clés sans jamais les exposer.
Les HSM existent sous plusieurs formats : cartes PCIe qui s'insèrent dans un serveur, appliances réseau au service de plusieurs applications, tokens USB pour le stockage portable de clés, et services hébergés dans le cloud par les grands fournisseurs. Quel que soit le format, le principe reste le même : le matériau de clé reste à l'intérieur du périmètre du HSM, et toutes les opérations cryptographiques se déroulent à l'intérieur de l'appareil.
