Amazon RDS for PostgreSQL がポスト量子 TLS (PQ-TLS) キー交換をサポート

Amazon RDS for PostgreSQL (バージョン 18 以上) において、通信中のデータを暗号化するためのポスト量子 TLS (PQ-TLS) キー交換のサポートが開始されました。ユーザーは ssl_groups パラメータを修正することで、RDS for PostgreSQL の許可リストから特定の暗号化グループを選択し、組織のセキュリティ基準に合わせて暗号化強度を高度化させることが可能です。

Post-Quantum Cryptography (PQC) への対応

今回のアップデートは、将来的な量子コンピュータの脅威に対する「今収集し、後で解読する (harvest now, decrypt later)」攻撃への対策として非常に重要な意味を持ちます。従来の TLS キー交換では、将来的に実用的な量子コンピュータが登場した際に、現在傍受された通信データが解読されるリスクがありました。PQ-TLS を導入することで、このリスクを大幅に軽減できます。

リージョン状況と運用上の注意点

最新のリージョン状況を確認したところ、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて Amazon RDS for PostgreSQL は利用可能であり、本機能（PQ-TLS）の特定のリージョン制限に関する公式発表はありません。そのため、国内の既存環境への適用検討が可能です。

エンジニアへのアドバイス

• 対象バージョン: 本機能を利用するには、PostgreSQL エンジンバージョン 18 以上 が必須です。既存の環境が 15 や 16 などの旧バージョンを使用している場合は、メジャーバージョンアップが必要です。
• 設定変更: ssl_groups パラメータは動的パラメータであるため、設定変更時にデータベースの再起動は不要です。ダウンタイムを最小限に抑えつつ、セキュリティ強化が可能となります。
• 次に行うべきアクション: まずは検証環境で PostgreSQL 18 へのアップグレードと ssl_groups パラメータの設定変更を試し、クライアント側の TLS 実装が PQ-TLS をサポートしているかを確認することをお勧めします。

Reference: Amazon RDS for PostgreSQL Documentation AWS What's New