Atestacja klucza
Podpisane przez sprzęt oświadczenie, że dany klucz został wygenerowany w jego wnętrzu i nie da się go wyeksportować.
Klucz publiczny nic nie mówi o tym, gdzie mieszka jego połowa prywatna. Może leżeć w HSM-ie, a może w pliku tekstowym na czyimś laptopie. Dzięki atestacji moduł wystawia oświadczenie o właściwościach klucza — na przykład że wygenerowano go na urządzeniu i oznaczono jako niewyeksportowalny — i podpisuje je kluczem urządzenia, którego łańcuch certyfikatów prowadzi do producenta.
Urzędy certyfikacji używają jej do sprawdzania, czy klucze do podpisywania kodu naprawdę znajdują się w sprzęcie, czego CA/Browser Forum wymaga od 2023 roku. Odmiany oferują m.in. YubiHSM, chmurowe usługi HSM i Android Keystore. Zaufanie nadal opiera się na kluczu głównym producenta, więc atestacja przesuwa pytanie „dlaczego mam ci ufać?” o jeden poziom wyżej, zamiast na nie odpowiadać.