Konfigurasikan TLS pasca-kuantum hibrida - AWS Key Management Service
Bagaimana cara mengujinya

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasikan TLS pasca-kuantum hibrida

Dalam prosedur ini, tambahkan dependensi Maven untuk AWS Common Runtime HTTP Client. Selanjutnya, konfigurasikan klien HTTP yang lebih memilih TLS pasca-kuantum. Kemudian, buat AWS KMS klien yang menggunakan klien HTTP.

Untuk melihat contoh kerja lengkap tentang mengonfigurasi dan menggunakan TLS pasca-kuantum hibrida dengan AWS KMS, lihat repositori. aws-kms-pq-tls-example

catatan

Klien HTTP Runtime AWS Umum, yang telah tersedia sebagai pratinjau, tersedia secara umum pada Februari 2023. Dalam rilis itu, tlsCipherPreference kelas dan parameter tlsCipherPreference() metode digantikan oleh parameter postQuantumTlsEnabled() metode. Jika Anda menggunakan contoh ini selama pratinjau, Anda perlu memperbarui kode Anda.

  1. Tambahkan klien AWS Common Runtime ke dependensi Maven Anda. Sebaiknya gunakan versi terbaru yang tersedia.

    Misalnya, pernyataan ini menambahkan versi 2.30.22 klien AWS Common Runtime ke dependensi Maven Anda. 

    <dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>aws-crt-client</artifactId>
    <version>2.30.22</version>
</dependency>

  2. Untuk mengaktifkan suite sandi pasca-kuantum hibrida, tambahkan AWS SDK for Java 2.x ke proyek Anda dan inisialisasi. Kemudian aktifkan suite sandi pasca-kuantum hibrida pada klien HTTP Anda seperti yang ditunjukkan pada contoh berikut.

    Kode ini menggunakan parameter postQuantumTlsEnabled() metode untuk mengonfigurasi klien HTTP runtime AWS umum yang lebih menyukai rangkaian sandi pasca-kuantum hibrida yang direkomendasikan, ECDH dengan. ML-KEM Kemudian menggunakan klien HTTP yang dikonfigurasi untuk membangun instance klien AWS KMS asinkron,. KmsAsyncClient Setelah kode ini selesai, semua permintaan AWS KMS API pada KmsAsyncClient instance menggunakan TLS pasca-kuantum hibrida.

    // Configure HTTP client
SdkAsyncHttpClient awsCrtHttpClient = AwsCrtAsyncHttpClient.builder()
          .postQuantumTlsEnabled(true)
          .build();

// Create the AWS KMS async client
KmsAsyncClient kmsAsync = KmsAsyncClient.builder()
         .httpClient(awsCrtHttpClient)
         .build();

  3. Uji AWS KMS panggilan Anda dengan TLS pasca-kuantum hibrida.

    Saat Anda memanggil operasi AWS KMS API pada AWS KMS klien yang dikonfigurasi, panggilan Anda ditransmisikan ke AWS KMS titik akhir menggunakan TLS pasca-kuantum hibrida. Untuk menguji konfigurasi Anda, panggil AWS KMS API, sepertiListKeys.

    ListKeysReponse keys = kmsAsync.listKeys().get();

Uji konfigurasi TLS pasca-kuantum hibrida Anda

Pertimbangkan untuk menjalankan pengujian berikut dengan suite cipher hybrid pada aplikasi Anda yang memanggil. AWS KMS

  • Lihat tlsDetails bagian dalam entri CloudTrail log untuk panggilan AWS KMS API yang dibuat oleh aplikasi Anda. keyExchangeBidang harus menyebutkan algoritma hybrid sepertiX25519MLKEM768. Sebagai contoh, lihat Dekripsi dengan kunci enkripsi simetris standar melalui koneksi TLS pasca-kuantum.

  • Jalankan tolok ukur menggunakan TLS pasca-kuantum hibrida. Pertukaran kunci hibrida meningkatkan ukuran dan waktu pemrosesan beberapa pesan dalam jabat tangan TLS, tetapi dampak kinerja keseluruhan seharusnya tidak terlihat dalam banyak kasus.

  • Coba hubungkan dari lokasi yang berbeda. Bergantung pada jalur jaringan yang diambil permintaan Anda, Anda mungkin menemukan bahwa host perantara lama, proxy, atau firewall dengan inspeksi paket mendalam (DPI) memblokir permintaan tersebut. Ini mungkin hasil dari menggunakan grup pertukaran kunci baru di ClientHellobagian jabat tangan TLS, atau dari pesan pertukaran kunci yang lebih besar. Jika Anda mengalami masalah dalam menyelesaikan masalah ini, bekerjalah dengan tim keamanan atau administrator TI Anda untuk memperbarui konfigurasi yang relevan dan membuka blokir grup pertukaran kunci TLS yang baru.