AWS parodė, kaip SCP ir IAM priemonėmis įtvirtinti patvirtintų postkvantinių pasirašymo algoritmų politiką
Trumpai: AWS paskelbė tęsinį apie tai, kaip organizacijos gali priversti laikytis patvirtintų ML-DSA (postkvantinio pasirašymo) parametrų rinkinių visoje AWS aplinkoje. Straipsnyje aprašoma, kaip naudojant Service Control Policies (SCP) organizacijos ar OU lygmenyje bei IAM leidimų ribas blokuoti nepatvirtintų ML-DSA variantų (pvz., ML-DSA-44) kūrimą ir naudojimą, paliekant leistinus (ML-DSA-65/87) visiškai veikiančius. Taip pat aptariama AWS Private CA bei sertifikatų kontrolė ir kompromisas tarp draudimo sąrašų (naujas variantas pagal nutylėjimą leidžiamas) ir leidimo sąrašų (naujas variantas pagal nutylėjimą blokuojamas).
Šią santrauką automatiškai parengė dirbtinis intelektas pagal „AWS Security“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.
Kas pasikeitė?
- 1AWS KMS palaiko tris ML-DSA (FIPS 204) parametrų rinkinius: ML-DSA-44, ML-DSA-65, ML-DSA-87
- 2Pateikti SCP pavyzdžiai, draudžiantys kurti ir naudoti (Sign/Verify/GetPublicKey) konkrečius raktų specifikacijas, pvz., ML_DSA_44
- 3kms:KeySpec yra patikimas kontrolės svertas; kms:SigningAlgorithm negali atskirti ML-DSA variantų, nes visi naudoja ML_DSA_SHAKE_256
- 4SCP netaikomos organizacijos valdymo paskyrai
- 5Kontrolė apima tik AWS paslaugų API (KMS, Private CA, ACM), bet ne kriptografiją, vykdomą EC2/konteineriuose/Lambda ar protokolo lygmenyje, pvz., OpenSSH hibridinius raktus
Kodėl tai svarbu?
Organizacijoms, pradedančioms diegti postkvantinę kriptografiją, reikia praktinių būdų standartizuoti konkrečius algoritmų parametrų rinkinius ir išvengti nukrypimų; tai suteikia saugumo/atitikties komandoms konkrečius IAM/SCP modelius tam pasiekti dideliu mastu AWS aplinkoje.
Ką tai reiškia AI agentams ir kontaktų centrams?
Jei infrastruktūra veikia AWS ir naudojama AWS KMS, Private CA ar ACM kodo pasirašymui ar sertifikatų valdymui, tai pateikia šabloną, kaip apriboti, kokie kriptografiniai algoritmai gali būti naudojami visoje organizacijoje; priešingu atveju tiesioginė reikšmė balso AI ar kontaktų centro sistemoms yra ribota.
Šaltiniai
- AWS SecurityOficialusPirminis šaltinisOriginalus straipsnis →„Quantum-resistant signing on AWS, Part 2: Enforce your ML-DSA algorithm policy with SCPs and IAM“2026-10-12 23:13
- Šaltinio publikavimo data
- 2026-10-12 23:13
- Mūsų sistema rado
- 2026-10-12 23:41
- Santrauka sugeneruota
- 2026-10-12 23:41
Straipsnį pagal originalų šaltinį parašė AI. Faktai, skaičiai ir kainos — iš šaltinio; trūkstamos reikšmės pažymėtos „Nėra oficialių duomenų“. Teisinė informacija, autorių teisės ir privatumas