Ký số chống lượng tử trên AWS: Xây dựng chuỗi cung ứng phần mềm an toàn
"This article details building a quantum-resistant software supply chain on AWS using ML-DSA. It outlines a five-pillar architecture leveraging AWS KMS, Private CA, and IAM Roles Anywhere to address the 'harvest now, forge later' threat posed by future quantum computing capabilities. The approach aims to meet compliance requirements like CNSA 2.0 and the EU CRA."
Việc sử dụng chữ ký chống lượng tử như ML-DSA giúp bảo vệ tính toàn vẹn của phần mềm trước các cuộc tấn công từ máy tính lượng tử trong tương lai. Điều này đặc biệt quan trọng đối với các hệ thống có vòng đời dài, nơi nguy cơ 'harvest now, forge later' là đáng kể.
Việc tuân thủ các tiêu chuẩn như CNSA 2.0 và EU CRA đòi hỏi các doanh nghiệp phải áp dụng chữ ký chống lượng tử. Việc triển khai ML-DSA trên AWS có thể giúp giảm thiểu chi phí và độ phức tạp so với việc tự xây dựng hệ thống.
AWS vừa công bố hướng dẫn xây dựng chuỗi cung ứng phần mềm chống tấn công lượng tử, sử dụng thuật toán ML-DSA. Cách tiếp cận này dựa trên AWS KMS, Private CA và IAM Roles Anywhere để đối phó với nguy cơ “harvest now, forge later” (thu thập dữ liệu ký ngày nay, giả mạo sau này) khi máy tính lượng tử đủ mạnh xuất hiện. Giải pháp này cũng đáp ứng các yêu cầu tuân thủ như CNSA 2.0 và EU CRA.
Các cuộc tấn công vào chuỗi cung ứng phần mềm ngày càng phổ biến và tinh vi. Các vụ xâm nhập hệ thống xây dựng và thư viện mã nguồn mở gần đây cho thấy kẻ tấn công nhắm mục tiêu vào các cơ chế tin cậy xác minh tính toàn vẹn của phần mềm. Các cơ chế này dựa vào thuật toán chữ ký số, nhiều thuật toán hiện tại như RSA và ECDSA có thể bị phá vỡ bởi máy tính lượng tử đủ mạnh. Sử dụng chữ ký chống lượng tử ngay hôm nay là biện pháp phòng ngừa cho các mối đe dọa tiềm ẩn trong tương lai.
Kể từ năm 2025, CNSA 2.0 yêu cầu các Hệ thống An ninh Quốc gia Hoa Kỳ (NSS) “hỗ trợ và ưu tiên” chữ ký chống lượng tử cho phần mềm và firmware, và bắt buộc sử dụng hoàn toàn vào năm 2030. EU CRA có hiệu lực vào tháng 12 năm 2027, yêu cầu các nhà sản xuất duy trì tính toàn vẹn của phần mềm trong suốt vòng đời sản phẩm. Các tổ chức cung cấp phần mềm cho chính phủ Hoa Kỳ hoặc bán sản phẩm tại thị trường châu Âu cần hành động ngay để đáp ứng các thời hạn này.
AWS cung cấp các công cụ để xây dựng chuỗi cung ứng phần mềm chống lượng tử, sử dụng các dịch vụ KMS, Private CA và IAM Roles Anywhere. Hướng dẫn này mô tả cách kết hợp ML-DSA trong KMS, chứng chỉ ML-DSA trong Private CA và neo tin cậy ML-DSA trong IAM Roles Anywhere để ký các tệp nhị phân, ảnh container và SBOM (Software Bill of Materials).
Bài viết này là phần 1 trong loạt bài về ML-DSA. Đây là hướng dẫn hoàn chỉnh đầu tiên từ bất kỳ nhà cung cấp dịch vụ đám mây nào về chữ ký chống lượng tử trên toàn bộ chuỗi cung ứng phần mềm, từ thiết lập gốc tin cậy ML-DSA đến thực thi chính sách thuật toán trong tổ chức.
Câu hỏi thường gặp
ML-DSA là gì?
ML-DSA (Module-Lattice-Based Digital Signature Algorithm) là một thuật toán chữ ký số được thiết kế để chống lại các cuộc tấn công từ cả máy tính cổ điển và máy tính lượng tử. Nó được chuẩn hóa trong NIST FIPS 204.
CNSA 2.0 yêu cầu gì về chữ ký chống lượng tử?
CNSA 2.0 yêu cầu các Hệ thống An ninh Quốc gia Hoa Kỳ (NSS) phải “hỗ trợ và ưu tiên” chữ ký chống lượng tử cho phần mềm và firmware từ năm 2025, và bắt buộc sử dụng hoàn toàn vào năm 2030.
EU CRA có ảnh hưởng gì đến chữ ký số?
EU CRA (Cyber Resilience Act) yêu cầu các nhà sản xuất phải duy trì tính toàn vẹn của phần mềm trong suốt vòng đời sản phẩm. Điều này có nghĩa là các tổ chức cần sử dụng các cơ chế bảo vệ, bao gồm cả chữ ký chống lượng tử, để đảm bảo phần mềm không bị giả mạo.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc AWS hỗ trợ ML-DSA là bước đi quan trọng cho các doanh nghiệp Việt Nam đang chuẩn bị cho các yêu cầu tuân thủ quốc tế về an ninh phần mềm. Các tổ chức nên bắt đầu thử nghiệm với ML-DSA trong môi trường phát triển để làm quen với quy trình và đánh giá tác động đến hệ thống hiện tại. Điều đáng chú ý là việc chuyển đổi sang ML-DSA có thể đòi hỏi thay đổi trong quy trình xây dựng và triển khai phần mềm.