AWS добавила постквантовый обмен ключами и межрегиональную передачу идентичности

26 октября AWS добавила в Key Management Service ключи ML-KEM по стандарту NIST FIPS 203. KMS поддерживает варианты ML-KEM-512, ML-KEM-768 и ML-KEM-1024; закрытая часть ключевой пары хранится в аппаратных модулях безопасности, прошедших валидацию FIPS 140-3 Level 3.

ML-KEM здесь нужен для установления общего секрета: одна сторона получает публичный ключ, выполняет Encapsulate и передаёт другой стороне шифротекст, а владелец ключа вызывает Decapsulate. Полученный секрет можно использовать для derivation симметричных ключей. Это не отдельная команда шифрования файлов или данных в покое. По сообщению AWS, функция доступна во всех регионах KMS, кроме регионов Китая, ОАЭ и Бахрейна.

29 октября AWS объявила поддержку постквантового обмена ключами TLS для Aurora PostgreSQL-Compatible Edition. Настройка параметра ssl_groups доступна в Aurora PostgreSQL версии 18 и выше: оператор выбирает криптографические группы из списка AWS. Речь идёт о защите данных при передаче по TLS, а не о смене шифрования хранимой базы.

Ещё одно обновление от 26 октября касается IAM Identity Center. Сервис теперь может передавать контекст личности пользователя к AWS-сервисам в другом регионе, сохраняя возможность назначать права по пользователю и его группам и вести аудит обращений. AWS говорит, что функция не требует дополнительной платы и доступна во всех регионах, где работает IAM Identity Center.

Эти изменения решают разные задачи: KMS даёт механизм постквантового установления секрета, Aurora — выбор групп для TLS-соединения, а IAM Identity Center переносит пользовательский контекст между регионами. Для сравнения подходов к защите сетей см. материал о платформе квантово-безопасных сетей Toshiba; о безопасном управлении правами для агентных сценариев — разбор Google Cloud IAM Helper. Командам AWS нужно отдельно проверить регион, версию Aurora и настройки конкретной нагрузки: новые возможности не включаются одной общей настройкой для всех сервисов.