Crypto Officer
Die Rolle, die ein kryptografisches Modul konfigurieren und dessen Benutzer verwalten darf, die Schlüssel selbst aber idealerweise nicht benutzen soll.
FIPS 140 verlangt, dass ein kryptografisches Modul mindestens zwei Rollen unterscheidet. Der Crypto Officer installiert, initialisiert und konfiguriert das Modul, legt Konten an und setzt Richtlinien. Der User führt die eigentlichen kryptografischen Operationen aus. Ein Rollenwechsel erfordert eine neue Anmeldung, und das Modul muss nachweisen können, welche Rolle was getan hat.
Die Trennung ist eine Anwendung der Dual Control: Wer Benutzer anlegen kann, sollte nicht zugleich Kundendaten entschlüsseln können. AWS CloudHSM nennt die Rollen CO und CU, Thales Luna sagt Security Officer. In der Praxis bewahrt dieselbe Person gelegentlich beide Passwörter auf demselben Klebezettel auf – was bisher keine Norm wegzertifizieren konnte.