Amazon Corretto 27 推出支援 TLS 1.3 後量子混合金鑰交換與資料遮蔽功能

主要亮點

Amazon 於 9 月 17 日正式釋出 Corretto 27，這是 AWS 提供的免費 OpenJDK 發行版。與同日推出的 Oracle JDK 27 一樣，Corretto 27 內建 JEP 527，支援 TLS 1.3 後量子混合金鑰交換，同時加入 JEP 536，提供 JFR（Java Flight Recorder）處理程序內資料遮蔽 功能，讓開發者在診斷與效能分析時，能自動遮蔽敏感資訊。

背景與技術解析

• TLS 1.3 後量子混合金鑰交換：在 TLS 1.3 連線過程中，同時使用傳統金鑰交換演算法（如 ECDHE）與後量子演算法（如 NIST‑PQC 草案），形成「混合」模式。若未來量子電腦成功破解傳統演算法，後量子部分仍能保護通訊安全，降低量子威脅的風險。
• JFR 資料遮蔽：JFR 是 Java 內建的低開銷診斷工具，JEP 536 允許開發者在記錄離開 JVM 前，對包含個人資料、金鑰、憑證等敏感欄位進行自動遮蔽。此機制有助於滿足 合規、隱私與安全 要求，尤其在處理 AI 系統或受監管資料時，能在不犧牲診斷價值的前提下，降低資訊外洩風險。

影響與未來展望

Corretto 27 的功能發行版定位，讓企業在 AWS 生態系 中即可取得最新的後量子安全與資料保護能力，無需自行編譯或購買商業 JDK。對於已部署在雲端或混合環境的 Java 應用，升級至 Corretto 27 可即時獲得 TLS 1.3 後量子防護，同時在故障排除時保持 資料最小暴露。

未來，隨著 NIST 後量子標準的逐步確定，JEP 527 可能會納入更多演算法；而 JEP 536 的遮蔽策略也有望擴展至自訂欄位與跨服務追蹤。開發者與安全負責人應將 Corretto 27 列入升級路線圖，主動因應量子時代的資安挑戰，同時利用 JFR 的安全診斷，提升系統韌性與合規性。