Thực thi chính sách ML-DSA trên AWS với SCP và IAM
"This article details how to enforce a cryptographic algorithm policy within AWS using Service Control Policies (SCPs) and IAM, specifically focusing on ML-DSA (ML-DSA-44, ML-DSA-65, and ML-DSA-87) for quantum-resistant signing. It demonstrates preventing the use of unapproved algorithms like ML-DSA-44 and detecting deviations from the policy. The controls apply to AWS KMS, AWS Private CA, and AWS Certificate Manager."
Bài viết cung cấp hướng dẫn chi tiết về cách tăng cường bảo mật bằng cách kiểm soát các thuật toán mã hóa được sử dụng trong môi trường AWS.
Việc triển khai các chính sách này giúp doanh nghiệp đảm bảo tuân thủ các tiêu chuẩn mã hóa và giảm thiểu rủi ro liên quan đến an ninh dữ liệu.
AWS vừa công bố cách thực thi chính sách thuật toán mã hóa, ngăn chặn việc sử dụng các lựa chọn không tuân thủ trong môi trường AWS. Bài viết này hướng dẫn cách sử dụng Service Control Policies (SCPs) và IAM để kiểm soát ML-DSA (ML-DSA-44, ML-DSA-65, ML-DSA-87) – một thuật toán chữ ký kháng lượng tử.
Việc này quan trọng với các kỹ sư và doanh nghiệp Việt Nam đang chuyển đổi sang mã hóa hậu lượng tử. AWS KMS, AWS Private CA và AWS Certificate Manager đều nằm trong phạm vi kiểm soát. Bài viết tập trung vào việc ngăn chặn sử dụng ML-DSA-44 và phát hiện các sai lệch so với chính sách.
AWS KMS hỗ trợ ML-DSA thông qua ba tham số: ML-DSA-44, ML-DSA-65 và ML-DSA-87, tương ứng với các mức bảo mật NIST 2, 3 và 5. ML-DSA-44 nhanh nhất, nhưng ML-DSA-65 và ML-DSA-87 có biên độ bảo mật lớn hơn, phù hợp với các chữ ký cần độ tin cậy lâu dài.
Ví dụ, tổ chức có thể chuẩn hóa ML-DSA-65 và ML-DSA-87, loại bỏ ML-DSA-44. Việc này không đồng nghĩa ML-DSA-44 không an toàn; nó đơn giản là không nằm trong chính sách. ML-DSA-44 vẫn là một lựa chọn hợp lệ, đạt chuẩn NIST, phù hợp với các thiết bị hạn chế hoặc khối lượng công việc lớn.
Kiểm soát thành công sẽ đảm bảo:
* Không tạo được key material ML-DSA-44. * Không sử dụng key ML-DSA-44 hiện có để ký hoặc xác minh. * Không thiết lập private CA tạo ra ML-DSA-44.
Bất kỳ sai lệch nào sẽ được phát hiện. Các chính sách này hoạt động trên API của AWS KMS, AWS Private CA và AWS Certificate Manager. Chúng không kiểm soát mã hóa trên các máy tính do bạn quản lý (ví dụ: EC2, Lambda). SCP ngăn chặn ở cấp độ tài khoản, còn IAM permission boundaries cho phép linh hoạt hơn. Bạn có thể áp dụng các chính sách này trên toàn bộ tổ chức hoặc chỉ một số OU nhất định.
Câu hỏi thường gặp
ML-DSA là gì?
ML-DSA là một thuật toán chữ ký số kháng lượng tử (FIPS 204) được AWS KMS hỗ trợ. Nó có ba tham số: ML-DSA-44, ML-DSA-65 và ML-DSA-87, mỗi tham số có mức bảo mật khác nhau.
SCPs và IAM được sử dụng để làm gì trong bài viết này?
SCPs (Service Control Policies) và IAM (Identity and Access Management) được sử dụng để thực thi chính sách thuật toán mã hóa, ngăn chặn việc sử dụng các thuật toán không được phép như ML-DSA-44.
Phạm vi của các chính sách này là gì?
Các chính sách này hoạt động trên AWS KMS, AWS Private CA và AWS Certificate Manager. Chúng không kiểm soát mã hóa trên các máy tính do người dùng quản lý.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc AWS hỗ trợ và cung cấp công cụ kiểm soát ML-DSA là bước tiến quan trọng cho các doanh nghiệp Việt Nam muốn chuẩn bị cho kỷ nguyên hậu lượng tử. Điều đáng chú ý là, việc triển khai SCPs và IAM policies có thể giúp đảm bảo tuân thủ chính sách mã hóa một cách nhất quán. Các doanh nghiệp nên thử nghiệm với các chính sách mẫu được cung cấp để hiểu rõ hơn về cách chúng hoạt động trong môi trường của mình.