Atestação de chave
Uma declaração assinada pelo hardware de que determinada chave foi gerada dentro dele e não pode ser exportada.
Uma chave pública não diz nada sobre onde mora sua metade privada. Ela pode estar num HSM ou num arquivo de texto no notebook de alguém. Com a atestação, o módulo emite uma declaração sobre as propriedades da chave, como gerada no dispositivo e marcada como não exportável, e a assina com uma chave do dispositivo cuja cadeia de certificados leva até o fabricante.
As autoridades certificadoras a usam para verificar que as chaves de assinatura de código realmente estão em hardware, exigência do CA/Browser Forum desde 2023. O YubiHSM, os serviços de HSM em nuvem e o Android Keystore oferecem variantes. A confiança ainda depende da chave raiz do fabricante, então a atestação só empurra a pergunta "por que eu deveria confiar em você?" um nível para cima, sem respondê-la.