29 октября AWS объявила о поддержке постквантового согласования ключей TLS в Amazon Aurora PostgreSQL-Compatible Edition. В Aurora PostgreSQL 18 и новее можно выбирать разрешённые криптографические группы через параметр ssl_groups. На Mentoring.digital разбираем условия применения этой возможности к соединениям с базой.
Новая возможность не включается автоматически для всех клиентов
В разрешённый список входят гибридные группы X25519MLKEM768 и SecP256r1MLKEM768, а также X25519, prime256v1 и secp384r1. Для версии 18 документация указывает значение по умолчанию prime256v1:X25519. Поэтому наличие поддержки и фактическое использование постквантового обмена нужно различать.
ssl_groups является динамическим параметром кластера: для его изменения не требуется перезагрузка. Порядок групп задаёт предпочтение сервера. Для соединения используется первая группа списка, которую поддерживает и клиент.
Для групп ML-KEM требуется TLS 1.3
Документация AWS указывает, что группы ML-KEM требуют TLS 1.3. Чтобы требовать их использование, минимальную версию протокола задают как TLSv1.3. При этом параметр ssl_groups относится к обмену ключами через именованные группы: например, наборы TLS 1.2 с обменом RSA его игнорируют.
Для применения только указанных групп AWS также требует включённый rds.force_ssl и соответствующие ограничения протокола или наборов шифров. Эти условия важно оценивать вместе. Само добавление названия группы в настройку ещё не является подтверждением, что приложение установило нужное соединение.
Проверять нужно весь набор подключающихся приложений
Сначала составьте список клиентов базы: основной сервис, фоновые задачи, миграции и административные инструменты. Уточните версии драйверов и используемых ими TLS-библиотек. На тестовом кластере проверьте не только успешный вход, но и фактически согласованные параметры соединения, а затем обычные запросы и переподключение.
Сохраните исходные параметры и заранее определите порядок возврата, если один из клиентов несовместим с выбранными группами. Разобрать настройки PostgreSQL и совместимость подключений можно с наставником по PostgreSQL. Итог проверки должен подтверждать конкретный способ обмена ключами у нужных клиентов; один успешный SQL-запрос этого не доказывает.
