Thales社LunaとEntrust社nShieldの汎用HSMの特長をまとめてみた

性能

◎

〇

総合的にはLunaに軍配（RSA2048では最上位モデルのみ、ECC256では最下位モデルのみでnShieldが優勢）

機能

〇

〇

高速演算チップ、乱数生成機、タンパ検出、対応アルゴリズム、サポートOS等基本機能に大差なし。

規格準拠

◎

◎

どちらもFIPS140-3レベル3、Common Criteria、eIDAS(Lists of QSCDs)など主要な国際セキュリティ標準規格に準拠

拡張性

△　導入後の柔軟性乏しい

〇

[Luna] 性能やモデル変更(PED/PW)は不可、パーティションの拡張も制限有

[nShield] 購入後に性能アップグレード可（同一筐体でSWで性能に制限が掛けられている仕様）

導入コスト

〇

〇

[Luna] クライアントライセンス購入は必要、構成によってBackup HSMが必要。Aシリーズ採用の場合Lunaの方が安価の可能性あり

[nShield] クライアントライセンスx3付随（デフォルト）

対応API

〇

◎

どちらも主要なAPIはサポート（PKCS#11、Java、MSCNGなど）

nShieldは独自API(nCore)があり、ACL設定等の柔軟で高度なアプリケーション開発が可能

カスタムコード開発

〇　Functionality Module

◎　Codesafe5/SEE

Lunaは拡張PKCS#11、nShieldは独自のネイティブAPI(nCore)での実装により、HSM内でセキュアなコード実行が可能。nCoreは柔軟性は高いが深い開発スキルが求められる
※Luna Functionality Moduleは、2025年9月時点でFIPS認定範囲外

鍵の管理手法

〇

Key in Box

〇　

Security World

[Luna] 基本はHSM内で管理。新FW（v1パーティション）ではnShieldと同様の実装が可能

[nShield] セキュリティワールドと呼ばれる仮想空間での鍵管理

→HSM内のモジュールキーで暗号化してクライアントのHDD上にバックアップ（鍵をトークン化して外部保存）

ユーザー認証

〇　PIN/PED

〇　OCSカード/パスワード

共にパスフレーズ＋物理トークンを使用した認証が選択可能

管理できる鍵数

〇　v1パーティションの場合は無制限

〇　無制限

[Luna] v0パーティションの場合、メモリ容量に依存

[nShield] 有償のHSKオプション利用することで数百万個の鍵の高速処理が可能

鍵管理の分離方式

◎　パーティション設計（最大100）

〇　OCSカード/ソフトカード(無制限)

[Luna]パーティションごとにセキュリティポリシー設定可など、セキュリティの柔軟性が高い（複数パーティションはLuna Network HSMのみ）

秘密鍵エクスポート容易さ

〇

△

[Luna] メーカ提供ツール(CKdemo)で容易にエクスポート可
[nShield] nCore APIを用いてアプリ開発が必要
（※）FIPS140 Level3モードの場合は秘密鍵の平文エクスポートは禁止されており、別途Wrap用の鍵で暗号化して取り出す必要がある。

MTBF

〇

〇

PCIeタイプの場合はnShield、ネットワークタイプの場合はLunaが優秀

ネットワーク構成の柔軟性

〇

〇

[Luna] 4つの物理ポート搭載、Bonding x2対応、10GのEthernetオプションあり

[nShield] 2つの物理ポート搭載、Bonding x1対応、10G対応モデルあり

HSM-クライアント間のセキュリティ

〇　TLSベース(NTLS＆STC)

〇　独自プロトコル(impath)

大差なし

PQC(ポスト量子暗号)対応

〇

〇

どちらも標準ファームウェアがPQC処理に対応