Aurora MySQL 8.4.8におけるPQC鍵交換を伴うTLS接続の検証
本記事は、Aurora MySQL 8.4.8がサポートするPQ（耐量子計算）鍵交換を用いたTLS接続の検証結果を報告する。検証では、JDK 27クライアントからAurora MySQL 8.4.8への接続を行い、TLSハンドシェイクで選択された鍵交換グループを確認した。検証環境は、同じVPC内のEC2（Amazon Linux 2023、ARM64）上で動作するJDK 27とAurora MySQL 8.4.8、MySQL Connector/J 9.0.0を使用した。検証の結果、Aurora MySQL 8.4.8はTLS 1.3においてX25519MLKEM768およびSecP256r1MLKEM768のハイブリッド鍵交換をサポートしていることが確認された。クライアント側のJDK 27もX25519MLKEM768をサポートしており、ハンドシェイクログ（ServerHello）において両者がこのグループを選択したことが確認された。さらに、証明書検証を有効にした場合でも同じ鍵交換グループが成立することが確認され、PQC鍵交換が正常に機能することが実証された。この検証は、PQCへの移行が進む中で、Aurora MySQLと最新のミドルウェア・JDKの組み合わせで安全な接続を確立できることを示している。
背景
本ニュースは、Aurora MySQL 8.4.8がPQC（Post-Quantum Cryptography）に対応したハイブリッド鍵交換（X25519MLKEM768など）をサポートしているという事実に基づいている。政府機関などが2035年までのPQC移行を目指す中で、データベース接続におけるセキュリティ強化の必要性が高まっている。
重要用語解説
- Aurora MySQL 8.4.8: Amazon Aurora上で動作するMySQLのバージョン8.4.8。本記事では、TLS接続におけるPQC鍵交換機能がサポートされていることを検証する対象となった。
- PQC鍵交換: Post-Quantum Cryptography（耐量子計算）に基づく鍵交換方式。将来の量子コンピュータによる脅威に対抗するため、より安全な暗号アルゴリズムを用いた鍵交換を行う技術。
- X25519MLKEM768: PQC（Post-Quantum Cryptography）に基づく特定の鍵交換グループ。TLS 1.3におけるハイブリッド鍵交換で使用される、X25519とML-KEM（Kyber）を組み合わせた鍵交換方式。
- TLSハンドシェイク: TLS（Transport Layer Security）プロトコルにおける、クライアントとサーバー間で安全な通信チャネルを確立するための初期ネゴシエーション（鍵交換、暗号スイートの選択など）のプロセス。
今後の影響
本検証により、Aurora MySQL 8.4.8がPQC対応の鍵交換を実際にサポートしており、クライアント側（JDK 27）との間で安全な接続が確立可能であることが実証された。これは、PQCへの移行を検討する企業や政府機関にとって、Aurora MySQLを採用した際のセキュリティリスクを評価し、PQC対応のミドルウェアやJDKの組み合わせが適切であるかを確認するための重要な実証データとなる。今後のAurora MySQLのPQC対応の進展に期待が持たれる。