2019 年，一家筆電大廠傳出後門漏洞，駭客透過置換下載中心的檔案，並在檔案內部嵌入合法的程式碼簽章（Code Signing），藉由更新機制散布後門。這意味著，消費者在官方網站下載的更新檔，是經過駭客竄改過的檔案，而由於駭客使用了該廠的合法簽章來簽署檔案，消費者無法得知檔案被竄改過。
所謂的程式碼簽章或數位簽章（Digital Signature）是一種公開金鑰密碼系統的技術，具有不可否認性（Non-repudiation），藉此確保資料的完整性。舉例來說，一家科技公司可以在每次釋出軟體更新時，將內容編譯打包完成後進行數位簽章（相當於生成簽名），讓消費者透過企業端的公鑰驗證檔案的正確性，確保檔案是來自官方的正確版本。
而這起數位簽章的竄改事件顯示出一大問題：企業內部管理失能，讓可供進行驗證的金鑰流散在組織內，無法追溯源頭以及安全性，進而讓駭客有機可趁。
借鑑這起事件， Synology 意識到，隨著攻擊手法日新月異，為了降低風險，我們需要導入更多管理能量去確保整體安全，因此資安建設的層級必須持續升級。為了更進一步為使用者的產品安全把關，Synology 在這兩年 DSM 7.0 研發期中，在總部機房建置了所謂的硬體安全模組（Hardware Security Module, HSM）伺服器，確保未來所有數位簽章都只能透過 HSM 伺服器來簽署。
更安全的數位簽章機制
HSM 的具體執行作法， 是將數位金鑰視為實體資產，在每次企業有需要的時候進行簽署並保留稽核紀錄。目前台灣產業，許多金融業、電信業等涉及金流服務的高度機敏產業已經採用相關方案，但由於部署的價格動輒百萬起跳，在科技產業仍屬於較為嚴謹的資安架構。
HSM 最重要的特性，在於負責核發數位簽章的私鑰只存在 HSM 伺服器中，無法複製出來。
過去企業內部管理常遇到的問題是，組織內有權限持有私鑰的人通常不只一位，且在不同的裝置（例如持有人的 PC）都可以核發數位簽章，因而組織無法確實控管是誰在何時登入，檔案是否曾經離線存取，以及私鑰是否被任意複製等。
若要更為淺顯易懂的說明 HSM 如何協助加強數位簽章的安全性，可以如此理解：如果掌管認證核發的許可保存在一個寶庫裡，以前是，這個寶庫的門不只一扇，鑰匙的持有人也不只一位，只要是有鑰匙的人，都能拿著其中一把鑰匙去開任何一道門；現在是，通往寶庫的門只有一扇，鑰匙就放在門裡面，你必須過去門那邊，喊聲「芝麻開門，請幫我簽名。」再等寶庫裡的人直接遞出那份簽署過、認證過的文件給你，從頭到尾，你都不會接觸到鑰匙。
透過這樣以硬體為基準的統一、單一登入窗口， HSM 的機制是從介面端直接阻擋複製金鑰，整體流程都只能委由 HSM 幫你操作，如此一來，私鑰不需要離開 HSM，也就沒有複製的介面可以上下其手，進而讓駭客有機可乘。對組織來說，也可以更好的進行內部權限控管，例如追溯登入的歷史紀錄，確保金鑰的保管等。這也代表著，即使有員工離職了，也無法將秘密帶走。因為金鑰是留在該台實體伺服器中，全世界只有該台 HSM 伺服器可以進行數位簽章驗證，無法被複製。
從軟體到硬體機制，加強管理安全性
對於將產品安全視為首要任務的 Synology 而言，其實早在 DSM 6.0 時就已經有類似的機制，但當時是透過軟體去實作數位簽章的簽署。不過，軟體可以做到的功能畢竟有其侷限，因為金鑰的存放本身仍是每個人都能取用。因此，在 DSM 7.0 時我們有機會大幅度調整軟體基本架構時，便決定採用 HSM 機制重新管理金鑰，透過物理特性搭配每週例行性的存取紀錄稽核，完善軟體釋出的每個機制。
而 Synology 部署 HSM 來核發數位簽章，為我們帶來的好處是，內部可以進行更為嚴謹、且統一入口的權限控管，因為所有金鑰的使用皆是可追溯並進行事後稽核的。此外，從消費者的角度，只要每次 Synology 釋出軟體更新，所有的數位簽章都只能經由這個部署在總部的 HSM 伺服器來進行驗證，透過導入這樣 Security by Design 的機制，我們能更加以安全為優先去提供產品，也讓消費者可以完全信賴產品的安全性與完整性。
隨著雲端，IoT 等趨勢盛行，資安威脅變得更加多元，企業需要採用更加成熟的加密技術來保護機敏資料，金鑰的管理正是落實加密應用的重要一環。目前資安思維防護演進到零信任，這類安全等級更高的 HSM 認證以及加解密的應用也變得更加普遍， Synology 希望透過導入目前業界最好的機制，一方面加強內控，一方面也讓我們對於客戶的責任更加明確，確保我們提供的產品具備現階段最高且最完整的安全性。