HSM и сохранность private keys

Можно ли обеспечить аппаратно или программно сохранность секретного ключа на взломанной и подконтрольной злоумышленнику машине? Из программных средств мне в голову приходит только установка пассфразы на ключ, но это решается кейлоггером. Двухфакторная аутентификация тоже не защищает в данном случае — смарткарты/usb-ключи можно сдампить; ввод кода, выданного дигипассом можно перехватить и выполнить аутентификацию до того как юзер успеет нажать на ОК в форме ввода. Единственное, что я придумал — это использование аппаратной шифровалки, у которой нет функции чтения прайват ключа, она только шифрует используя ключ, но отдавать его физически не может. Я прав, что это единственный способ? может можно как-то проще? Поискав в интернете на тему таких девайсов, нашел некую русскую «Шипку», есть что-то подобное еще?