SmartCard-HSM
Um cartão inteligente da alemã CardContact que faz boa parte do que um HSM faz, por uma fração do preço, num chip do tamanho de uma unha.
O cartão gera e guarda chaves RSA e EC que nunca saem do chip, e é acessado via PKCS#11 e OpenSC. Isso o torna útil para pequenas autoridades certificadoras, assinatura de código e chaves SSH: tarefas que não justificam um HSM de rack, mas que também não deveriam ficar num arquivo em disco. O Nitrokey HSM é a mesma tecnologia num pen drive USB.
Seu recurso mais cuidadoso é o backup. As chaves podem ser exportadas cifradas sob uma chave do dispositivo, a DKEK, que por sua vez pode ser dividida em partes guardadas por vários custodiantes, opcionalmente com um limiar mínimo. É uma cerimônia de chaves em miniatura. Capacidade e velocidade são modestas, naturalmente: um cartão dá conta de algumas assinaturas por segundo, não do volume de um banco.