Cloudflare تضيف Geo Key Manager لما بعد الكم للتحكم الإقليمي بالمفاتيح

أطلقت Cloudflare نسخة تجريبية مغلقة من Geo Key Manager لما بعد الكم تستخدم ML-KEM-768 وX25519 الهجينين للتحكم الإقليمي في الوصول إلى المفاتيح.

أدخلت Cloudflare ترقية لما بعد الكم على Geo Key Manager الخاص بها إلى مرحلة تجريبية مغلقة، موسّعةً أدواتها لتوطين البيانات عبر تشفير هجين يهدف إلى إبقاء الوصول إلى المفاتيح الخاصة داخل نطاقات جغرافية محددة. ووفقًا لتقرير نشره Quantum Computing Report استنادًا إلى مواد من Cloudflare، فإن الخدمة الجديدة جزء من Data Localization Suite التابعة للشركة، ومن المقرر أن تصبح متاحة بشكل عام في الربع الأول من عام 2027.

ما الذي أُعلن عنه

العرض الجديد، الذي يحمل اسم Post-Quantum Geo Key Manager، صُمم لتمكين المؤسسات من تحديد الأماكن التي يمكن فيها فك تغليف مفاتيح TLS الخاصة ومفاتيح فك تشفير النقل عبر شبكة Cloudflare العالمية. وتطرح الشركة المنتج باعتباره وسيلة لمعالجة كلٍّ من متطلبات سيادة البيانات الإقليمية والمخاطر التشفيرية طويلة الأجل، بما في ذلك تهديدات ما يُعرف بـ"اجمع الآن وفك التشفير لاحقًا".

وتقول وثائق Cloudflare إن Data Localization Suite إضافة مدفوعة مخصصة للمؤسسات فقط، للعملاء الذين يحتاجون إلى التحكم في أماكن فحص البيانات وتخزينها وفك تشفيرها مع الاستمرار في استخدام البنية التحتية العالمية لـ Cloudflare. كما تُظهر وثائق Geo Key Manager الحالية أن الإصدار السابق كان يدعم ثلاث مناطق — الولايات المتحدة، والاتحاد الأوروبي، ومجموعة من مراكز البيانات عالية الأمان — وأن العملاء الراغبين في خيارات أخرى على مستوى الدول أو المناطق يمكنهم التقدم للانضمام إلى النسخة التجريبية المغلقة من الإصدار الجديد.

التفاصيل التقنية

وبحسب التقرير، فإن التصميم لما بعد الكم يستبدل بنية سابقة كانت تستند إلى التشفير القائم على السمات بسياسة النص المشفر، باتباع نهج تشفير هجيني بالمفتاح العام. ويجمع النظام الجديد بين ML-KEM-768، المُشار إليه هناك على أنه NIST FIPS 203، وX25519 ضمن Hybrid HPKE كما هو محدد في RFC 9180.

ويتمثل المبرر المعلن في الناحية العملية: إذ لا يتوافر حاليًا تشفير قائم على السمات لما بعد الكم، موحّد وجاهز للإنتاج، لذلك أعادت Cloudflare صياغة التصميم حول HPKE. وفي هذا البناء الهجين، يُفترض أن تبقى السرية محفوظة حتى إذا انكسرت لاحقًا إحدى الآليتين الأساسيتين المعتمدتين.

ويقول التقرير إن الخدمة تستخدم AES-256-GCM وHKDF-SHA-256 للتشفير المتماثل واشتقاق المفاتيح. كما يصف نموذجًا هرميًا مبنيًا حول مفتاح جذر إقليمي بطول 256-bit وأزواج مفاتيح للخدمة، بما يهدف إلى الحد من نطاق التأثير عبر الخدمات والفترات الزمنية الإقليمية.

وعلى صعيد البنية التحتية، يُقال إن Cloudflare تفصل بين النصوص المشفرة الموزعة عالميًا ومواد المفاتيح الإقليمية اللازمة لفك تغليفها. وتُوزَّع المفاتيح الخاصة المغلّفة الخاصة بالعملاء عالميًا عبر Quicksilver، وهو مخزن موزع للمفاتيح والقيم لدى Cloudflare، بينما تُجهَّز مفاتيح الجذر الإقليمية عبر خدمة آمنة ضمن مستوى التحكم ومدعومة بعناقيد HashiCorp Vault محلية.

وقبل أن يتمكن أي خادم من تلقي مفتاح جذر إقليمي، يقول التقرير إنه يجب أن يصادق باستخدام TPM الخاص به، بينما يتحقق نظام الجرد Zinc التابع لـ Cloudflare من هوية الجهاز وموقعه الفعلي داخل مركز البيانات. وبعد ذلك لا تُحمَّل مفاتيح الجذر إلا في حلقات مفاتيح نواة Linux المتطايرة بدلًا من التخزين الدائم، بحيث تؤدي إعادة التشغيل إلى مسحها من الذاكرة.

ضوابط الوصول وطرح الخدمة

ومن نقاط التصميم البارزة نموذج الإنفاذ. فبحسب التقرير، تستخدم Cloudflare سياسة صارمة من نوع fail-closed: فإذا لم يكن لدى خادم edge في منطقة جغرافية غير مصرّح بها مفتاح الجذر الإقليمي المطلوب، فإنه يرفض الطلب بدلًا من محاولة فك التشفير عبر الحدود.

وتستهدف النسخة التجريبية المغلقة في البداية مستخدمي المؤسسات لمنتجات Cloudflare One Zero Trust، بما في ذلك Magic WAN وTunnel وGateway. ووفقًا للتقرير، من المخطط دمجها بالكامل مع شبكة توصيل المحتوى التابعة لـ Cloudflare قبل الإطلاق العام في الربع الأول من 2027.

لماذا يهم ذلك

بالنسبة إلى المشترين من المؤسسات، يأتي هذا الإعلان عند تقاطع الانتقال إلى تقنيات ما بعد الكم والامتثال لمتطلبات إقامة البيانات. والنقطة الأساسية لا تتمثل فقط في استخدام خوارزميات جديدة، بل في ربط الوصول التشفيري بالجغرافيا المادية وإثبات موثوقية العتاد. وقد يكون هذا المزيج جذابًا للمؤسسات التي تواجه قواعد إقليمية صارمة بشأن التعامل مع الحركة المرورية المشفرة ومواد المفاتيح.

وما ينبغي متابعته لاحقًا هو ما إذا كانت Cloudflare ستوسع الدقة الإقليمية إلى ما يتجاوز الخيارات الموثقة حاليًا، ومدى سرعة انتقال العملاء من Geo Key Manager الحالي إلى النسخة لما بعد الكم مع اقتراب موعد الإطلاق في 2027.