AWS Key Management Service unterstützt jetzt ML-KEM für Post-Quanten-Schlüsselkapselung
AWS Key Management Service (KMS) unterstützt jetzt Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM), einen Post-Quanten-Kryptografiestandard nach NIST FIPS 203, der es zwei Parteien ermöglicht, ein gemeinsames Geheimnis einzurichten. Das NIST hat ML-KEM entwickelt, um die klassischen Schlüsselfestlegungsschemata in der eigenen strategischen kryptografischen Roadmap, wie die DH/ECDH-Schlüsselvereinbarung und den RSA-basierten Schlüsseltransport zu ersetzen (siehe NIST IR 8547). ML-KEM befasst sich mit Bedrohungen nach dem Prinzip „jetzt abgreifen, später entschlüsseln“ für diese klassischen Schemata, bei denen Angreifer den Schlüsselaustausch heute aufzeichnen, um das gemeinsame Geheimnis zu entschlüsseln, sobald ausreichend leistungsstarke Quantencomputer verfügbar sind.
KMS unterstützt alle drei in NIST FIPS 203 definierten ML-KEM-Schlüsselspezifikationen: ML-KEM-512, ML-KEM-768 und ML-KEM-1024. Die Encapsulate-API verwendet den öffentlichen Schlüssel, um ein zufälliges gemeinsames 32-Byte-Geheimnis und dessen Geheimtext zu erzeugen. Die Decapsulate-API entschlüsselt das gemeinsame Geheimnis mithilfe des entsprechenden privaten Schlüssels aus dem Geheimtext. KMS schützt den privaten Schlüssel eines ML-KEM-Schlüsselpaars in nach FIPS 140-3 Level 3 validierten Hardwaresicherheitsmodulen (HSMs). Sie können die GetPublicKey-API verwenden, um den öffentlichen Schlüssel zu exportieren und ihn an Partner, Client-Anwendungen oder externe Systeme zu verbreiten, um den Kapselungsvorgang lokal mithilfe kryptografischer Bibliotheken wie AWS-LC, OpenSSL oder Bouncy Castle durchzuführen.
ML-KEM ist in allen AWS-Regionen verfügbar, in denen KMS verfügbar ist, mit Ausnahme der Regionen Naher Osten (VAE), Naher Osten (Bahrain) und China. Weitere Informationen finden Sie im AWS-KMS-Entwicklerhandbuch unter ML-KEM-Schlüssel in AWS KMS und Hinweise zu Schlüsselspezifikationen.