기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

에서 하이브리드 포스트 양자 TLS 사용 AWS KMS

(AWS KMS)에 전송하는 데이터는 전송 계층 보안 AWS Key Management Service (TLS) 연결에서 제공하는 암호화로 전송 중에 보호됩니다. AWS KMS 가 TLS 세션에 대해 지원하는 클래식 암호 제품군으로 인해 현재 기술로는 키 교환 메커니즘에 대한 무차별 암호 대입 공격이 불가능합니다. 그러나 대규모 양자 컴퓨팅이 실용적이 되면 TLS 키 교환 메커니즘에 사용되는 클래식 암호 제품군은 이러한 공격에 취약합니다.

2024년 8월에 NIST는 최초의 포스트 퀀텀 암호화 표준을 완료했습니다. 여기에는 NIST 웹 사이트의 FIPS 203에 지정된 Module-Lattice-Based Key-Encapsulation Mechanism(ML-KEM)이 포함됩니다. AWS KMS 이제는 타원 곡선 Diffie-Hellman(ECDH)과 ML-KEM을 결합하는 TLS에 대한 하이브리드 포스트 양자 키 교환 옵션을 지원합니다. 이 하이브리드 키 교환은 오늘날의 클래식 암호 제품군의 강도를 유지하면서 향후 양자 지원 공격자에 대한 복원력을 추가합니다. 자세한 내용은 AWS 보안 블로그의 ML-KEM 포스트 양자 TLS now supported in AWS KMS, ACM 및 Secrets Manager를 참조하세요.

애플리케이션이 TLS 연결을 통해 전달되는 데이터의 장기 기밀성에 의존하는 경우 포스트 양자 암호화를 사용해야 합니다. 그렇지 않으면 공격자는 현재 클래식 암호 제품군으로 암호화된 데이터를 캡처하고 양자 컴퓨터를 사용할 수 있게 되면 암호를 해독할 수 있습니다. 이 전략을 지금 수집, 나중에 복호화라고 합니다.

에서 하이브리드 포스트 양자 TLS 사용 AWS KMS

모든 API 호출에 하이브리드 포스트 양자 TLS를 사용할 수 있습니다 AWS KMS. HTTP 클라이언트를 설정할 때 다음 정보에 유의하세요.

AWS KMS 엔드포인트

AWS KMS 는 FIPS 140-3 검증 엔드포인트를 포함한 모든 엔드포인트에서 하이브리드 포스트 양자 TLS를 사용할 수 AWS 리전 있는 모든에서 지원합니다. 각 AWS KMS 엔드포인트 목록은의 엔드포인트 및 할당량을 AWS 리전참조하세요Amazon Web Services 일반 참조. AWS Key Management Service FIPS 엔드포인트에 대한 자세한 내용은 Amazon Web Services 일반 참조의 FIPS 엔드포인트를 참조하세요.

지원되는 시스템

AWS SDKs AWS SDKs 및 도구 참조 안내서의 하이브리드 포스트 양자 TLS 활성화에 설명된 대로 하이브리드 포스트 양자 TLS를 지원합니다. Java 예제는 섹션을 참조하세요하이브리드 포스트 퀀텀 TLS 구성.

하이브리드 포스트 양자 TLS 확인

CloudTrail 로그 항목을 검사하여 특정 AWS KMS API 호출이 하이브리드 포스트 양자 TLS를 사용했는지 확인할 수 있습니다. 호출에 대한 로그 항목에서 tlsDetails 섹션을 찾습니다. keyExchange 필드는 사용된 키 교환 알고리즘의 이름을 지정합니다. 하이브리드 포스트 양자 연결의 경우이 필드는와 같은 하이브리드 알고리즘을 보여줍니다X25519MLKEM768. 로그 항목의 예는 섹션을 참조하세요포스트 양자 TLS 연결을 통해 표준 대칭 암호화 키로 복호화.

성능

하이브리드 키 교환은 일부 TLS 핸드셰이크 메시지의 크기와 처리 시간을 약간 늘리지만 대부분의 워크로드에서 전반적인 성능에 미치는 영향은 감지할 수 없습니다. 이러한 메시지는 더 크기 때문에 네트워크의 여러 위치에서 AWS KMS API 호출을 테스트하는 것이 좋습니다.

요청이 수행하는 네트워크 경로에 따라 레거시 중간 호스트, 프록시 또는 심층 패킷 검사(DPI)가 있는 방화벽이 요청을 차단할 수 있습니다. 이는 TLS 핸드셰이크의 ClientHello 부분에 있는 새 키 교환 그룹 또는 더 큰 키 교환 메시지에서 발생할 수 있습니다. 이러한 문제를 해결하는 데 문제가 있는 경우 보안 팀 또는 IT 관리자와 협력하여 새 TLS 키 교환 그룹의 차단을 해제하세요.

전송 중 데이터 암호화

하이브리드 암호 제품군은 전송 중 암호화에만 사용됩니다. 클라이언트에서 AWS KMS 엔드포인트로 이동하는 동안 데이터를 보호합니다.는 이러한 암호 제품군을 사용하여 데이터를 암호화하지 AWS KMS 않습니다 AWS KMS keys.

대신 AWS KMS 가 KMS 키로 데이터를 암호화할 때 256비트 키를 사용한 대칭 암호화와 이미 양자 내성이 있는 Galois 카운터 모드의 고급 암호화 표준(AES-GCM) 알고리즘을 사용합니다. 256비트 AES-GCM 키로 생성된 암호화 텍스트에 대한 이론적인 미래의 대규모 양자 컴퓨팅 공격은 키의 효과적 보안을 128비트로 감소시킵니다. 자세한 내용은 ETSI 웹 사이트의 Quantum Safe Cryptography and Security 백서를 참조하세요. 이 보안 수준은 AWS KMS 사이퍼텍스트에 대한 무차별 대입 공격을 실행 불가능하게 만들기에 충분합니다.

에서 포스트 양자 TLS에 대해 자세히 알아보기 AWS KMS

에서 하이브리드 포스트 양자 TLS를 사용하는 방법에 대한 자세한 내용은 다음 리소스를 AWS KMS참조하세요.