Dịch vụ quản lý khóa của AWS hiện hỗ trợ ML-KEM để đóng gói khóa hậu lượng tử
Dịch vụ quản lý khóa (KMS) AWS hiện hỗ trợ Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM), một tiêu chuẩn mật mã hậu lượng tử theo NIST FIPS 203, cho phép hai bên thiết lập thông tin bí mật dùng chung. NIST đã thiết kế ML-KEM để thay thế các sơ đồ thiết lập khóa cổ điển, như thỏa thuận khóa DH/ECDH và vận chuyển khóa dựa trên RSA, trong lộ trình mật mã chiến lược của họ (xem NIST IR 8547). ML-KEM giải quyết mối đe dọa “thu thập ngay, giải mã sau” đối với những sơ đồ cổ điển đó, nơi kẻ tấn công ghi lại trao đổi thiết lập khóa ở thời điểm hiện tại và phục hồi thông tin bí mật dùng chung khi có sẵn máy tính lượng tử đủ mạnh.
KMS hỗ trợ cả ba đặc tả khóa ML-KEM được xác định trong NIST FIPS 203: ML-KEM-512, ML-KEM-768 và ML-KEM-1024. API Encapsulate sử dụng khóa công khai để tạo ra một thông tin bí mật dùng chung ngẫu nhiên 32 byte và dạng bản mã tương ứng. API Decapsulate phục hồi thông tin bí mật dùng chung từ bản mã bằng khóa riêng tương ứng. KMS bảo vệ khóa riêng tư của cặp khóa ML-KEM trong các mô-đun bảo mật phần cứng (HSM) được xác thực FIPS 140-3 Cấp độ 3. Bạn có thể sử dụng API GetPublicKey để xuất khóa công khai và phân phối khóa đó cho các đối tác, ứng dụng máy khách hoặc hệ thống bên ngoài để thực hiện thao tác đóng gói cục bộ bằng cách sử dụng các thư viện mật mã như AWS-LC, OpenSSL hoặc Bouncy Castle.
ML-KEM được cung cấp ở tất cả các Khu vực AWS nơi có sẵn KMS, ngoại trừ Khu vực Trung Đông (Các Tiểu vương quốc Ả Rập Thống nhất), Trung Đông (Bahrain) và Trung Quốc. Để biết thêm thông tin, hãy xem khóa ML-KEM trong AWS KMS và Tham chiếu đặc tả khóa trong Hướng dẫn dành cho nhà phát triển về AWS KMS.