O AWS Key Management Service agora oferece suporte ao ML-KEM para encapsulamento pós-quântico de chaves
O AWS Key Management Service (KMS) agora oferece suporte ao Mecanismo de Encapsulamento de Chaves Baseado em Módulos (ML-KEM), um padrão de criptografia pós-quântica sob o NIST FIPS 203 NIST, que permite que duas partes estabeleçam um segredo compartilhado. O NIST projetou o ML-KEM para substituir os esquemas clássicos de estabelecimento de chaves, como o acordo de chave DH/ECDH e o transporte de chaves baseado em RSA, em seu roteiro criptográfico estratégico (consulte NIST IR 8547). O ML-KEM aborda a ameaça do tipo “colha agora, decifre depois” a esses esquemas clássicos, em que um adversário registra a troca do estabelecimento de chaves hoje e recupera o segredo compartilhado quando computadores quânticos suficientemente poderosos se tornam disponíveis.
O KMS oferece suporte a todas as três principais especificações do ML-KEM definidas no NIST FIPS 203: ML-KEM-512, ML-KEM-768 e ML-KEM-1024. A API Encapsulate usa a chave pública para produzir um segredo compartilhado aleatório de 32 bytes e seu formato de texto cifrado. A API Decapsulate recupera o segredo compartilhado do texto cifrado usando a chave privada correspondente. O KMS protege a chave privada de um par de chaves ML-KEM em módulos de segurança de hardware (HSMs) validados pelo FIPS 140-3 Nível 3. Você pode usar a API GetPublicKey para exportar a chave pública e distribuí-la para parceiros, aplicativos clientes ou sistemas externos para realizar a operação de encapsulamento localmente usando bibliotecas criptográficas como AWS-LC, OpenSSL ou Bouncy Castle.
O ML-KEM está disponível em todas as regiões da AWS em que o KMS está disponível, exceto nas regiões do Oriente Médio (EAU), Oriente Médio (Bahrein) e China. Para obter mais informações, consulte chaves do ML-KEM no AWS KMS e a referência de especificações de chaves no Guia do desenvolvedor do AWS KMS.