AWS Key Management Service ahora es compatible con ML-KEM para la encapsulación de claves poscuánticas
AWS Key Management Service (KMS) ahora admite el mecanismo de encapsulación de claves con base en retículos modulares (ML-KEM), un estándar de criptografía poscuántica según el estándar NIST FIPS 203, que permite a dos partes establecer un secreto compartido. El NIST diseñó el ML-KEM para reemplazar los esquemas clásicos de establecimiento de claves, como el acuerdo de claves DH/ECDH y el transporte de claves con base en RSA, en su plan de desarrollo criptográfico estratégico (consulte el informe NIST IR 8547). ML-KEM aborda la amenaza de “cosechar ahora y descifrar después” para esos esquemas clásicos, en los que un adversario graba el intercambio de claves entre establecimientos actuales y recupera el secreto compartido una vez que se dispone de computadoras cuánticas suficientemente potentes.
KMS admite las tres especificaciones clave de ML-KEM definidas en el estándar NIST FIPS 203: ML-KEM-512, ML-KEM-768 y ML-KEM-1024. La API Encapsulate usa la clave pública para generar un secreto compartido aleatorio de 32 bytes y su formato de texto cifrado. La API Decapsulate recupera el secreto compartido del texto cifrado mediante la clave privada correspondiente. KMS protege la clave privada de un par de claves ML-KEM en los módulos de seguridad de hardware (HSM) validados por FIPS 140-3 de nivel 3. Puede usar la API GetPublicKey para exportar la clave pública y distribuirla a socios, aplicaciones cliente o sistemas externos para realizar la operación de encapsulación localmente mediante bibliotecas criptográficas, como AWS-LC, OpenSSL o Bouncy Castle.
ML-KEM está disponible en todas las regiones de AWS en las que está disponible KMS, excepto en las regiones de Oriente Medio (Emiratos Árabes Unidos y Bahréin) y China. Para obtener más información, consulte claves ML-KEM en AWS KMS y referencia de especificaciones clave en la Guía del desarrollador de AWS KMS.