Schlüsselattestierung
Eine signierte Bestätigung der Hardware, dass ein bestimmter Schlüssel in ihr erzeugt wurde und sich nicht exportieren lässt.
Ein öffentlicher Schlüssel verrät nichts darüber, wo sein privater Gegenpart liegt – in einem HSM oder als Textdatei auf dem Laptop von irgendwem. Bei der Attestierung stellt das Modul eine Aussage über die Eigenschaften des Schlüssels aus, etwa „auf dem Gerät erzeugt“ und „nicht exportierbar“, und signiert sie mit einem Geräteschlüssel, dessen Zertifikatskette zum Hersteller zurückführt.
Zertifizierungsstellen prüfen damit, ob Code-Signing-Schlüssel tatsächlich in Hardware liegen, was das CA/Browser Forum seit 2023 vorschreibt. YubiHSM, Cloud-HSM-Dienste und der Android Keystore bieten jeweils Varianten an. Das Vertrauen hängt weiterhin am Wurzelschlüssel des Herstellers: Die Attestierung verschiebt die Frage „Warum sollte ich dir trauen?“ also nur eine Ebene nach oben, statt sie zu beantworten.