[Документация Yandex Cloud](../../index.md) > [Yandex Key Management Service](../index.md) > [Концепции](index.md) > Симметричное шифрование > Аппаратный модуль безопасности (HSM)

# Аппаратный модуль безопасности (HSM)


{% note warning %}

Функциональность доступна только в [регионе Россия](../../overview/concepts/region.md).

{% endnote %}


Аппаратный модуль безопасности ([HSM](https://en.wikipedia.org/wiki/Hardware_security_module)) – это специализированное вычислительное устройство, которое предназначено для выполнения криптооперацией с высоким уровнем защищённости.

Традиционно HSM используются в сценариях, когда криптосредство должно обеспечивать такой уровень защиты, при котором стоимость и сложность реализации успешной атаки ограничивают круг потенциальных злоумышленников до небольшого числа высококвалифицированных специалистов.

## HSM в Key Management Service

HSM, которые используются в Yandex Cloud – специализированные защищенные физические серверы, которые поставляются производителем средств криптографической защиты информации – ООО "КриптоПро".

В устройствах реализован комплекс решений по защите криптосредства на всех этапах его жизненного цикла, включая следующие решения:
* доверенная операционная система;
* защита от физического вскрытия корпуса;
* защита от перепадов напряжения питания и температуры среды;
* надежные генераторы случайных чисел;
* защита от «человеческого фактора» (вероятность неверной конфигурации устройства сведена к минимуму);
* доверенная загрузка операционной системы.

### Порядок работы с HSM 

В Key Management Service вы можете создать симметричный ключ шифрования, все криптооперации с которым будут выполняться только внутри HSM. Сам ключ также будет создан в HSM. В этом случае ключ пользователя хранится в базе данных сервиса Key Management Service, но исключительно в зашифрованном виде. Ключ пользователя шифруется на мастер-ключе HSM, который никогда не покидает HSM.

Для выполнения всех криптоопераций симметричный ключ будет передаваться в HSM. Все криптооперации с ключом пользователя выполняются только внутри HSM, в Key Management Service возвращаются только результаты криптоопераций.

Криптооперация с использованием HSM состоит из следующих шагов:

1. Из базы данных Key Management Service извлекается ключ пользователя в зашифрованном виде.
1. Зашифрованный ключ вместе с данными пользователя отправляется в HSM.
1. Внутри HSM происходит расшифрование ключа пользователя мастер-ключом HSM.
1. Внутри HSM на расшифрованном ключе производится криптооперация с данными пользователя.
1. Внутри HSM расшифрованный ключ пользователя уничтожается.
1. Данные возвращаются пользователю.

### Включение HSM для ключа

Чтобы использовать HSM, при создании симметричного ключа выберите тип алгоритма `AES-256 HSM`. Все операции с этим ключом будут выполняться внутри HSM, дополнительные действия не требуются.

## Примеры использования {#examples}

* [Управление ключами KMS с HashiCorp Terraform](../tutorials/terraform-key.md)
* [Auto Unseal в HashiCorp Vault](../tutorials/vault-secret.md)
* [Безопасная передача пароля в скрипт инициализации](../tutorials/secure-password-script/index.md)