AWS 上的抗量子签名，第 1 部分：用 ML-DSA 构建软件供应链
Quantum-resistant signing on AWS, Part 1: Build a software supply chain with ML-DSA
AI 导读
AWS 发布两篇系列文章的第一篇，展示如何用 ML-DSA 在 AWS KMS、AWS Private CA 和 IAM Roles Anywhere 上搭建抗量子的软件供应链签名架构。文章给出从根 CA、从属 CA、代码签名密钥到 CI/CD 制品与 SBOM 签名及部署验证的完整 CLI 流程，覆盖密钥管理、PKI、工作负载身份、制品签名和 SBOM 完整性证明五个部分。文中指出 ML-DSA-65 签名为 3,309 字节，ECDSA P-256 为 64 字节；CNSA 2.0 要求软件与固件签名在 2030 年前独占使用抗量子算法，EU CRA 于 2027 年 12 月全面生效。AWS 称截至 2026 年 10 月，这是云厂商中首个覆盖软件供应链的后量子签名端到端指南。