亚马逊云科技 安全简介:马修·坎帕尼亚,亚马逊云科技 密码学安全工程高级负责人

作者: 罗杰·帕克 |

在 亚马逊云科技 安全概况系列中,我们采访了帮助确保客户安全的 亚马逊网络服务 (亚马逊云科技) 思想领袖。本次采访由亚马逊云科技加密安全工程高级负责人马特·坎帕尼亚 和re: InForce 2023 会议发言人组成,他分享了对数据保护、云安全、后量子加密等方面的看法。Matthew 于 2019 年 首次在 亚马逊云科技 安全博客上被介绍


你在目前的职位上做了什么?你在 亚马逊云科技 工作了多长时间?

我于 2013 年开始在亚马逊工作,成为 亚马逊云科技 的第一位密码学家。今天,我的重点是客户数据的加密安全。我在 亚马逊云科技 工作,以确保我们的加密工程满足我们最敏感的客户需求。我领导我们向抗量子密码学的迁移,并帮助保护隐私的加密技术成为我们安全模型的一部分。

你是如何开始进入数据保护和加密领域的?那是什么激起了你的兴趣?

我是在一堂关于群论的数学课上第一次学习公钥密码学(例如,RSA)。 我发现数学很有趣,仅使用公共价值发送秘密信息的想法令人震惊。我的本科和研究生教育侧重于群论,我的职业生涯始于国家安全局(NSA)设计和分析密码学。但我对密码学最感兴趣的是它能够通过降低风险来促进业务。我将密码学视为一种金融工具,可以提供新的商业案例,例如电子商务、数字货币和安全协作。使亚马逊能够为客户提供服务的根源在于密码学;我们的业务之所以存在,是因为密码学可以实现互联网上的信任和机密性。我发现这是密码学中最有趣的方面。

亚马逊云科技 通过参与后量子密钥协议和 后量子签名方案,投资于向后量子加密 的迁移 ,以保护客户数据的机密性、完整性和真实性。客户应该做些什么来为后量子密码学做准备?

我们在亚马逊云科技的重点是帮助确保客户能够尽可能快地谨慎地迁移到后量子加密。这项工作从盘点我们对已知不具有量子抗性的算法(例如基于整数分解的密码学)和基于离散日志的加密学(例如ECC)的依赖关系开始。客户可以依靠 亚马逊云科技 来协助过渡到后量子加密来满足其云计算需求。

我们建议客户开始盘点他们对非量子抗性算法的依赖关系,并考虑制定迁移计划,以了解他们是否可以直接迁移到新的后量子算法,或者是否应该重新架构这些算法。对于技术提供商提供的系统,客户应该询问他们的后量子加密迁移策略是什么。

亚马逊云科技 在某些安全服务中提供后量子 TLS 终端节点。你能告诉我们这些端点以及客户如何使用它们吗?

我们的开源 TLS 实现 S2n-TLS 在其主线中包括后量子混合密钥交换 (PQHKEX)。它部署在部署 s2n 的任何地方。 亚马逊云科技 密钥管理服务 亚马逊云科技 Secrets Manager 亚马逊云科技 Certificate Manag er 已在我们的商用 亚马逊云科技 区域 启用了 PQHKEX 密码套件 。如今,客户可以使用适用于 Java 的 亚马逊云科技 开发工具包 2.0 在与 亚马逊云科技 的连接上启用 PQHKEX,在启用该功能的服务上,他们将协商后量子密钥交换方法。当我们在其他服务上启用这些密码套件时,客户还将能够使用PQHKEX连接到这些服务。

您经常为 亚马逊科学博客 撰稿 。你最近的一些帖子是关于什么的?

2022年,我们发表了一篇关于 为后量子密码学 做准备 的文章 ,该文章提供了有关后量子密码学更广泛的行业发展和部署的一般信息。该帖子链接到许多其他资源,以帮助客户了解后量子密码学。 亚马逊云科技 后量子密码学 页面和科学博客是开始学习后量子密码学的好地方。

我们还发表了一篇文章, 重点介绍了后量子混合密钥交换 的安全性 。亚马逊相信可以证明我们销售的解决方案的加密安全性。我们正在积极参与密码学研究,以验证我们在服务和工具中提供的安全性。

自我们在 2019 年与您交谈以来,您在数据保护和后量子密码领域看到的最显著变化是什么?

自2019年以来,后量子密码学的发展取得了两项重大进展。

首先,美国国家标准与技术研究所 (NIST) 宣布他们 选择 PQC 算法进行 标准化。 作为联邦信息处理标准(FIPS)的一部分,NIST预计将在2024年之前完成后量子密钥封装机制(Kyber)和数字签名方案(Dilithium)的标准化。 NIST还将努力实现另外两个签名标准( FALCO N 和 SPHINCS+ )的标准化,并继续考虑将来对密钥封装机制BIKE、HQC和Classical McEliece进行标准化

其次,国家安全局宣布了他们的 商业国家安全算法(CNSA)套件2.0 ,其中包括国家安全系统(NSS)迁移到后量子算法的时间表。国家安全局将在2025年开始偏爱后量子解决方案,并预计系统将在2033年之前完成迁移。尽管这个时间表可能看起来很遥远,但它是一种激进的策略。经验表明,开发和部署新的高保障加密算法可能需要20年的时间。如果技术提供商尚未计划迁移其系统和服务,他们将面临满足这一时间表的挑战。

是什么让密码学让你感到兴奋?

密码学是一个充满活力的研究领域。除了商业应用程序外,我还喜欢密码学的数学。在密码学可以实现的新功能以及现有加密原语的潜在风险方面,最先进的技术不断进步。这在全球密码学研究的公共领域中发挥了作用。这些进步已公开,可供像 亚马逊云科技 这样的公司代表我们的客户进行创新,并在我们现有的加密算法面临新挑战之前保护我们的系统。这种情况正在发生,因为我们正在监控量子计算的进步以及我们定义和部署新的高保障抗量子算法的能力。对我来说,没有比这更令人兴奋的了。

你认为密码学和后量子密码学领域将走向何方?

在NIST从选择过程过渡到标准化的同时,更广泛的加密社区将更加专注于验证这些拟议标准化方案的加密保证。这是该过程的关键部分。我乐观地认为,进入2025年,我们将部署新的加密标准。

我们还有很多额外的密码学研究和工程工作要做。仍然需要将这些新原语应用于使用经典非对称方案的加密应用程序。其中一些工作是并行进行的,例如在 IETF TLS工作组 和ETS I Quantum- Safe密码技术委员会中。 在接下来的五年中,PQHKEX将在TLS、SSH和IKEv2等协议中得到采用,并对新的FIPS硬件安全模块(HSM)进行认证,为代码签名和实体认证建立新的后量子长期信任根源。

我预计,选定的标准化原语也将用于在安全的多方通信、保护隐私的机器学习和加密计算等领域开发新的用途。

随着 亚马逊云科技 re: inForce 2023 的临近,您的会议将重点关注什么?你希望与会者能从你的会议中学到什么?

会议 DAP302 — “云服务的后量子密码迁移策略” 讲述了量子计算机对当前使用的公钥加密算法构成的挑战以及行业的应对方式。后量子密码学 (PQC) 为这一挑战提供了解决方案,提供了安全性以帮助防范量子计算机网络安全事件。我们概述了当前在 PQC 标准化和迁移策略方面所做的努力。我们希望客户在离开时更好地了解 PQC 的重要性以及在云环境中迁移到 PQC 所需的步骤。

你希望客户更频繁地问你什么问题吗?

我最想从客户那里听到的问题是:“你什么时候能找到解决我的问题的办法?”如果客户需要一种新的加密解决方案,我很想尝试与他们一起解决这个问题。

工作之余,有什么爱好怎么样?

工作之余我的主要爱好是骑自行车和跑步。我希望我能像对待办公桌一样始终如一地关注自己的爱好。我更高兴能够每天以恒定的速度和距离跑步,而不是明天或下周跑得更快或更远。去年我有幸参加了 Cycle Oregon 骑行。我之前已经注册了两次,但没能抽出时间去做。

如果您对这篇文章有反馈,请在下面的 评论 部分提交评论。如果您对这篇文章有疑问, 请联系 亚马逊云科技 Support

想了解更多 亚马逊云科技 安全新闻?在 推特 上关注我们 。

Roger Park

罗杰·帕

克·罗杰是 亚马逊云科技 Security 的高级安全内容专家,专注于数据保护。作为作家和内容制作人,他在网络安全领域工作了近十年。在业余时间,他喜欢尝试新美食、园艺和收集唱片。

Campagna bio photo

Matthew Campagna

Matthew 是亚马逊网络服务密码学组的高级首席工程师。他管理整个 亚马逊云科技 加密解决方案的设计和审查。他是滑铁卢大学量子计算研究所的附属机构、ETSI安全算法专家组(SAGE)和ETSI TC CYBER量子安全密码学小组的成员。此前,马修曾领导黑莓的Certicom研究小组,负责管理密码学研究、标准和知识产权,并参加了各种标准组织,包括ANSI、ZigBee、SECG、ETSI的SAGE和 3GPP-SA3 工作组。他拥有卫斯理大学群论数学博士学位和福特汉姆大学数学学士学位。


*前述特定亚马逊云科技生成式人工智能相关的服务仅在亚马逊云科技海外区域可用,亚马逊云科技中国仅为帮助您发展海外业务和/或了解行业前沿技术选择推荐该服务。