AWS Key Management Service prend désormais en charge ML-KEM pour l'encapsulation de clés post-quantique
AWS Key Management Service (KMS) prend désormais en charge le mécanisme d'encapsulation de clés basé sur un réseau de modules (ML-KEM), une norme de cryptographie post-quantique conforme à la norme NIST FIPS 203, qui permet à deux parties d'établir un secret partagé. Le NIST a conçu ML-KEM pour remplacer les schémas classiques d'établissement de clés, tels que l'accord de clé DH/ECDH et le transport de clés basé sur RSA, dans sa feuille de route cryptographique stratégique (voir NIST IR 8547). ML-KEM répond à la menace « récolter maintenant, déchiffrer plus tard » qui menace ces schémas classiques, dans lesquels un adversaire enregistre l'échange de clés aujourd'hui et récupère le secret partagé une fois que des ordinateurs quantiques suffisamment puissants sont disponibles.
KMS prend en charge les trois spécifications clés ML-KEM définies dans la norme NIST FIPS 203 : ML-KEM-512, ML-KEM-768 et ML-KEM-1024. L'API Encapsulate utilise la clé publique pour produire un secret partagé aléatoire de 32 octets et son texte chiffré. L'API Decapsulate récupère le secret partagé à partir du texte chiffré à l'aide de la clé privée correspondante. KMS protège la clé privée d'une paire de clés ML-KEM dans des modules de sécurité matériels (HSM) validés FIPS 140-3 de niveau 3. Vous pouvez utiliser l'API GetPublicKey pour exporter la clé publique et la distribuer à des partenaires, à des applications clientes ou à des systèmes externes afin d'effectuer l'opération d'encapsulation localement à l'aide de bibliothèques cryptographiques telles que AWS-LC, OpenSSL ou Bouncy Castle.
ML-KEM est disponible dans toutes les Régions AWS où KMS est disponible, à l'exception des Régions Moyen-Orient (EAU), Moyen-Orient (Bahreïn) et Chine. Pour en savoir plus, consultez les rubriques Clés ML-KEM dans AWS KMS et Référence des spécifications clés dans le Guide du développeur AWS KMS.