AWS Key Management Service รองรับ ML-KEM สำหรับการห่อหุ้มคีย์แบบทนทานต่อคอมพิวเตอร์ควอนตัมแล้ว
ขณะนี้ AWS Key Management Service (KMS) รองรับ Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) ซึ่งเป็นมาตรฐานการเข้ารหัสแบบทนทานต่อคอมพิวเตอร์ควอนตัมภายใต้ NIST FIPS 203 ที่ช่วยให้สองฝ่ายสามารถสร้างข้อมูลลับที่ใช้ร่วมกันได้ NIST ออกแบบ ML-KEM เพื่อแทนที่รูปแบบการสร้างคีย์แบบดั้งเดิม เช่น การตกลงคีย์ DH/ECDH และการขนส่งคีย์ที่ใช้ RSA ตามโรดแมปเชิงกลยุทธ์ด้านการเข้ารหัสของ NIST (ดู NIST IR 8547) ML-KEM ช่วยรับมือกับภัยคุกคามแบบ "เก็บข้อมูลตอนนี้ ถอดรหัสภายหลัง" ที่มีต่อรูปแบบดั้งเดิมเหล่านั้น ซึ่งผู้ไม่ประสงค์ดีจะบันทึกการแลกเปลี่ยนเพื่อสร้างคีย์ไว้ในวันนี้ และกู้คืนข้อมูลลับที่ใช้ร่วมกันได้เมื่อมีคอมพิวเตอร์ควอนตัมที่มีประสิทธิภาพเพียงพอพร้อมใช้งาน
KMS รองรับข้อกำหนดคีย์ ML-KEM ทั้ง 3 แบบที่กำหนดไว้ใน NIST FIPS 203 ได้แก่ ML-KEM-512, ML-KEM-768 และ ML-KEM-1024 Encapsulate API ใช้คีย์สาธารณะเพื่อสร้างข้อมูลลับที่ใช้ร่วมกันแบบสุ่มขนาด 32 ไบต์และรูปแบบ Ciphertext ของข้อมูลดังกล่าว Decapsulate API จะกู้คืนข้อมูลลับที่ใช้ร่วมกันจาก Ciphertext โดยใช้คีย์ส่วนตัวที่สอดคล้องกัน KMS ปกป้องคีย์ส่วนตัวของคู่คีย์ ML-KEM ในโมดูลรักษาความปลอดภัยฮาร์ดแวร์ (HSM) ที่ผ่านการตรวจสอบตามมาตรฐาน FIPS 140-3 ระดับ 3 คุณสามารถใช้ GetPublicKey API เพื่อส่งออกคีย์สาธารณะและแจกจ่ายให้แก่พาร์ทเนอร์, แอปพลิเคชันไคลเอ็นต์ หรือระบบภายนอก เพื่อดำเนินการห่อหุ้มคีย์ภายในเครื่องโดยใช้ไลบรารีการเข้ารหัส เช่น AWS-LC, OpenSSL หรือ Bouncy Castle
ML-KEM พร้อมให้ใช้งานใน AWS Region ทุกแห่งที่ KMS พร้อมให้ใช้งาน ยกเว้นรีเจี้ยนตะวันออกกลาง (สหรัฐอาหรับเอมิเรตส์), ตะวันออกกลาง (บาห์เรน) และรีเจี้ยนจีน ดูข้อมูลเพิ่มเติมได้ที่คีย์ ML-KEM ใน AWS KMS และข้อมูลอ้างอิงข้อกำหนดคีย์ในคู่มือนักพัฒนา AWS KMS