Sleutelattestatie
Een ondertekende verklaring van de hardware dat een bepaalde sleutel daarin is gegenereerd en niet geëxporteerd kan worden.
Een publieke sleutel zegt niets over waar de privésleutel woont. Die kan in een HSM zitten, of in een tekstbestand op iemands laptop. Bij attestatie geeft de module een verklaring af over de eigenschappen van de sleutel, zoals op het apparaat gegenereerd en gemarkeerd als niet-exporteerbaar, en ondertekent die met een apparaatsleutel waarvan de certificaatketen terugleidt naar de fabrikant.
Certificaatautoriteiten gebruiken het om te controleren dat codeondertekeningssleutels echt in hardware staan, wat het CA/Browser Forum sinds 2023 voorschrijft. YubiHSM, de cloud-HSM-diensten en Android Keystore bieden allemaal varianten. Het vertrouwen hangt nog altijd aan de rootsleutel van de fabrikant: attestatie schuift de vraag ‘waarom zou ik je vertrouwen?’ een niveau op in plaats van haar te beantwoorden.