Atestación de claves
Una declaración firmada por el hardware de que cierta clave se generó en su interior y no puede exportarse.
Una clave pública no dice nada sobre dónde vive su mitad privada. Puede estar en un HSM o en un fichero de texto en el portátil de alguien. Con la atestación, el módulo emite una declaración sobre las propiedades de la clave, como generada internamente y marcada como no exportable, y la firma con una clave del dispositivo cuya cadena de certificados lleva hasta el fabricante.
Las autoridades de certificación la usan para comprobar que las claves de firma de código están realmente en hardware, algo que el CA/Browser Forum exige desde 2023. YubiHSM, los servicios de HSM en la nube y Android Keystore ofrecen variantes. La confianza sigue dependiendo de la clave raíz del fabricante, así que la atestación sube la pregunta «¿por qué debería fiarme de ti?» un nivel en lugar de responderla.