AWS הוסיפה ל-AWS Key Management Service תמיכה ב-ML-KEM, מנגנון הצפנה פוסט-קוונטי שנועד להגן על תהליך יצירת הסוד המשותף מפני איום "לאסוף עכשיו ולפענח אחר כך". ההכרזה פורסמה ב-26 באוקטובר 2026, והיא מכניסה ל-KMS את התקן שנקבע ב-NIST FIPS 203.
מה חדש ב-AWS KMS
ML-KEM, ראשי תיבות של Module-Lattice-Based Key-Encapsulation Mechanism, מאפשר לשני צדדים ליצור סוד משותף גם כאשר התקשורת ביניהם עוברת ברשת שאינה מהימנה. בניגוד למנגנונים קלאסיים המבוססים על DH, ECDH או העברת מפתחות באמצעות RSA, האלגוריתם תוכנן לעמוד בפני התקפות עתידיות של מחשבים קוונטיים חזקים.
לפי AWS, השירות תומך בשלוש רמות התקן: ML-KEM-512, ML-KEM-768 ו-ML-KEM-1024. פעולת Encapsulate מקבלת מפתח ציבורי, מייצרת סוד אקראי באורך 32 בתים וטקסט מוצפן; פעולת Decapsulate משחזרת את הסוד באמצעות המפתח הפרטי המתאים. המפתח הפרטי נשמר ב-HSM מאומת ברמת FIPS 140-3 Level 3.
למה זה חשוב כבר עכשיו
האיום המרכזי אינו מחשב קוונטי פעיל כיום, אלא האפשרות שתוקף ישמור תעבורה מוצפנת רגישה לאורך שנים וינסה לפענח אותה בעתיד. ארגונים שמחזיקים מידע בעל חיי מדף ארוכים — קניין רוחני, מידע רפואי, זהויות דיגיטליות או סודות מסחריים — צריכים להביא את חלון הסיכון הזה בחשבון עוד לפני שמחשב קוונטי שימושי יהיה זמין.
התוספת ל-KMS אינה מחייבת מעבר מיידי של כל מערכת. היא כן מספקת רכיב מנוהל לבניית ניסויים, שילוב עם שותפים והכנת מסלול הגירה. ניתן לייצא את המפתח הציבורי באמצעות GetPublicKey ולבצע Encapsulate גם מחוץ ל-AWS בעזרת ספריות כמו AWS-LC, OpenSSL או Bouncy Castle, בעוד המפתח הפרטי נשאר מוגן בתוך KMS.
מה צוותי אבטחה וענן צריכים לבדוק
- מיפוי קריפטוגרפי: לזהות היכן הארגון משתמש ב-RSA, DH או ECDH לצורך החלפת מפתחות, ומהו משך הרגישות של המידע בכל זרם.
- תאימות לקוחות: לבדוק אילו ספריות, סוכנים ושירותים תומכים ב-ML-KEM ובאיזו רמת מפתח.
- מודל היברידי: לשקול בתקופת המעבר שילוב של אלגוריתם קלאסי ופוסט-קוונטי, כדי לצמצם סיכון תפעולי ולהימנע מתלות מוקדמת במנגנון יחיד.
- בקרות והרשאות: להחיל על מפתחות ML-KEM את אותם עקרונות של הפרדת תפקידים, רישום פעולות, ניטור והרשאות מינימליות.
- בדיקות ביצועים: למדוד גודל הודעות, זמן השהיה ועלויות לפני הפעלה במערכות ייצור עתירות תעבורה.
זמינות והגבלות
AWS מציינת כי ML-KEM זמין בכל האזורים שבהם KMS פעיל, למעט אזורי המזרח התיכון באיחוד האמירויות ובבחריין וכן אזורי סין. לכן ארגון גלובלי צריך לבדוק לא רק תאימות קוד אלא גם את פריסת האזורים ואת דרישות הריבונות שלו.
המשמעות המעשית היא שקריפטוגרפיה פוסט-קוונטית עוברת בהדרגה ממסמכי תקינה לכלי תשתיתי שניתן להפעיל ולבחון. עם זאת, אין כאן תחליף לתוכנית הגירה מסודרת: מומלץ להתחיל בנכסים בעלי חיי סודיות ארוכים, לבצע ניסוי מבוקר, לתעד תלות בספריות ולבנות יכולת החלפת אלגוריתמים.
מקור: הודעת AWS הרשמית, 26.10.2026.
קרדיט תמונה: cottonbro studio / Pexels. רישיון Pexels – שימוש חופשי באתר וברשתות חברתיות.
