の OpenSSL プロバイダーの既知の問題 AWS CloudHSM

影響: AWS CloudHSM OpenSSL プロバイダーは OpenSSL CLI オペレーション (CSR 作成、証明書署名) をサポートしていませんでした。CSR および証明書オペレーションには OpenSSL Dynamic Engine を使用する必要があります。

解決ステータス: クライアント SDK 5.18.0 はこの問題を解決します。OpenSSL プロバイダーは、すべてのキータイプ (RSA、EC、Ed25519、ML-DSA) の OpenSSL CLI オペレーションをサポートするようになりました。修正を活用するには、バージョン 5.18.0 以降にアップグレードします。

影響: Ed25519 および ML-DSA キータイプは FIPS モードクラスターでは使用できません。FIPS クラスターでの TLS オフロードにこれらのキータイプを使用しようとすると失敗します。

解決策: Ed25519 と ML-DSA は、FIPS 以外のクラスターでのみ使用します。FIPS クラスターの場合は、TLS オフロードに RSA または EC キータイプを使用します。

影響: ML-DSA キータイプ (ML-DSA-44、ML-DSA-65、ML-DSA-87) では、CSR の作成、証明書の作成、TLS オフロードに OpenSSL 3.5 以降が必要です。古いシステム OpenSSL を使用するプラットフォームでは、ML-DSA オペレーションは「サポートされていないアルゴリズム」エラーで失敗します。

解決策: OpenSSL 3.5 以降でプラットフォームを使用するか、ML-DSA オペレーション用のカスタム OpenSSL 3.5+ バイナリを構築します。

影響: ML-DSA 証明書を使用する TLS 接続は、Amazon Linux 2023、RHEL 9、および RHEL 10 プラットフォームでエラー で失敗しますtls1_set_server_sigalgs:no shared signature algorithms。これは、システム全体の crypto-policies フレームワークに、デフォルトのSignatureAlgorithms許可リストに ML-DSA 署名アルゴリズム (mldsa44、mldsa65、mldsa87) が含まれていないために発生します。TLS 以外のオペレーション (キーの生成、署名、検証) は影響を受けません。Ubuntu 26.04 LTS は crypto-policies フレームワークを使用しないため、影響を受けません。

解決策: プラットフォームでポスト量子 (PQ) 暗号化サブポリシーを有効にします。