新聞

企業開源軟體業者Red Hat（紅帽）公布OpenShift的後量子密碼學（PQC）最新進展，OpenShift 4.22已預設支援模組格基式金鑰封裝機制（ML-KEM），讓支援相關能力的TLS 1.3連線可採用抗量子密碼演算法建立金鑰，降低攻擊者現在先擷取加密流量，未來再利用量子電腦解密的風險。

OpenShift導入ML-KEM，有賴底層軟體陸續加入PQC支援，包括Go 1.24支援ML-KEM及X25519MLKEM768混合式金鑰建立機制、RHEL 9.8與10.2加入ML-KEM支援，以及OpenShift控制層從4.19開始支援TLS 1.3。在支援相關能力的連線中，系統會透過TLS 1.3自動協商X25519MLKEM768，不需額外設定。相較於一年前相關功能仍處於發展藍圖階段，ML-KEM目前已成為OpenShift 4.22的預設功能。

紅帽接下來將推進抗量子數位簽章演算法ML-DSA，這項轉型將比ML-KEM牽涉更多既有系統。ML-KEM不需更換既有憑證；ML-DSA則會牽動X.509憑證，以及程式碼、容器映像檔等項目的數位簽章，負責驗證這些憑證或簽章的相關元件也必須支援ML-DSA。紅帽規畫在過渡期間同時維持傳統與ML-DSA憑證鏈，待相關元件陸續支援ML-DSA後，再逐步淘汰傳統憑證鏈。

在ML-DSA全面導入前，紅帽建議企業先盤點密碼學資產，包括應用程式產生的憑證、CI/CD流程使用的簽章金鑰，以及身分提供者核發的JWT權杖。企業也應掌握既有憑證的數量與輪替方式，以及輪替失敗可能影響的範圍，為後續重新核發憑證做準備。