AWS Key Management Service supporta ora ML-KEM per l'incapsulamento di chiavi post-quantistico
AWS Key Management Service (KMS) supporta ora il meccanismo di incapsulamento delle chiavi basato su reticolo di moduli (ML-KEM), uno standard di crittografia post-quantistica ai sensi dello NIST FIPS 203, che consente a due parti di stabilire un segreto condiviso. Il NIST ha progettato ML-KEM per sostituire i classici schemi di stabilimento delle chiavi, come l'accordo di chiavi DH/ECDH e il trasporto di chiavi basato su RSA, nella propria roadmap crittografica strategica (consulta NIST IR 8547). ML-KEM affronta la minaccia "raccogli ora, decifri dopo" relativa a tali schemi classici, in cui un avversario registra lo scambio per lo stabilimento della chiave oggi per poi recuperare il segreto condiviso non appena saranno disponibili computer quantistici sufficientemente potenti.
KMS supporta tutte e tre le specifiche di chiave ML-KEM definite nello standard NIST FIPS 203: ML-KEM-512, ML-KEM-768 e ML-KEM-1024. L'API Encapsulate utilizza la chiave pubblica per generare un segreto condiviso casuale di 32 byte e il relativo formato di testo criptato. L'API Decapsulate recupera il segreto condiviso dal testo criptato utilizzando la chiave privata corrispondente. KMS protegge la chiave privata di una coppia di chiavi ML-KEM all'interno di moduli di sicurezza hardware (HSM) convalidati FIPS 140-3 di livello 3. Puoi utilizzare l'API GetPublicKey per esportare la chiave pubblica e distribuirla a partner, applicazioni client o sistemi esterni per eseguire l'operazione di incapsulamento a livello locale utilizzando librerie crittografiche come AWS-LC, OpenSSL o Bouncy Castle.
ML-KEM è disponibile in tutte le regioni AWS in cui è disponibile KMS, ad eccezione delle regioni Medio Oriente (Emirati Arabi Uniti), Medio Oriente (Bahrein) e Cina. Per ulteriori informazioni, consulta le chiavi ML-KEM in AWS KMS e Riferimento alle specifiche delle chiavi nella Guida per gli sviluppatori di AWS KMS.