Cloudflare erweitert Geo Key Manager um Post-Quanten-Funktionen für regionale Schlüsselhoheit

Cloudflare hat eine geschlossene Beta eines Post-Quantum Geo Key Manager gestartet, der mit hybridem ML-KEM-768 und X25519 die regionale Zugriffskontrolle für Schlüssel umsetzt.

Diese Seite wurde aus dem Englischen übersetzt. Unternehmens- und Produktnamen sowie Quellenlinks bleiben unverändert. Original auf Englisch lesen

Cloudflare hat ein Post-Quanten-Upgrade seines Geo Key Manager in die geschlossene Beta überführt und erweitert damit seine Werkzeuge zur Datenlokalisierung um hybride Kryptografie, die den Zugriff auf private Schlüssel innerhalb ausgewählter geografischer Regionen halten soll. Laut einem Bericht von Quantum Computing Report unter Berufung auf Materialien von Cloudflare ist der neue Dienst Teil der Data Localization Suite des Unternehmens und soll im ersten Quartal 2027 allgemein verfügbar werden.

Was angekündigt wurde

Das neue Angebot mit dem Namen Post-Quantum Geo Key Manager soll Unternehmen ermöglichen festzulegen, wo private TLS- und Transport-Entschlüsselungsschlüssel im globalen Netzwerk von Cloudflare entpackt werden dürfen. Das Unternehmen positioniert das Produkt als Lösung sowohl für regionale Anforderungen an Datensouveränität als auch für langfristige kryptografische Risiken, darunter sogenannte Harvest-now-decrypt-later-Bedrohungen.

Laut der Cloudflare-Dokumentation ist die Data Localization Suite eine kostenpflichtige Zusatzoption ausschließlich für Unternehmenskunden, die kontrollieren müssen, wo Daten geprüft, gespeichert und entschlüsselt werden, während sie weiterhin die globale Infrastruktur von Cloudflare nutzen. Die bestehende Dokumentation zum Geo Key Manager zeigt zudem, dass die frühere Version drei Regionen unterstützte — die USA, die EU und eine Gruppe von Hochsicherheits-Rechenzentren — und dass Kunden, die andere Länder- oder Regionsoptionen wünschen, sich für die geschlossene Beta der neuen Version bewerben können.

Die technischen Details

Dem Bericht zufolge ersetzt das Post-Quanten-Design eine frühere Architektur auf Basis von ciphertext-policy attribute-based encryption durch einen hybriden Ansatz für Public-Key-Verschlüsselung. Das neue System kombiniert ML-KEM-768, dort als NIST FIPS 203 bezeichnet, mit X25519 unter Hybrid HPKE gemäß RFC 9180.

Die genannte Begründung ist pragmatisch: Standardisierte, produktionsreife Post-Quanten-Attribut-basierte Verschlüsselung ist derzeit nicht verfügbar, daher hat Cloudflare das Design auf HPKE umgestellt. In der hybriden Konstruktion soll die Vertraulichkeit selbst dann gewahrt bleiben, wenn einer der beiden zugrunde liegenden Mechanismen später gebrochen wird.

Dem Bericht zufolge verwendet der Dienst AES-256-GCM und HKDF-SHA-256 für symmetrische Verschlüsselung und Schlüsselableitung. Beschrieben wird außerdem ein hierarchisches Modell rund um einen 256-Bit-Regional-Wurzelschlüssel und Service-Schlüsselpaare, das den Schadensradius über Dienste und regionale Epochen hinweg begrenzen soll.

Auf der Infrastrukturseite trennt Cloudflare laut Bericht global verteilte Chiffrate von dem regionalen Schlüsselmaterial, das zu ihrer Entschlüsselung erforderlich ist. Verpackte private Kundenschlüssel werden weltweit über Quicksilver, den verteilten Key-Value-Store von Cloudflare, verteilt, während regionale Wurzelschlüssel über einen abgesicherten Control-Plane-Dienst bereitgestellt werden, der durch lokale HashiCorp Vault-Cluster gestützt wird.

Bevor ein Server einen regionalen Wurzelschlüssel erhalten kann, muss er sich dem Bericht zufolge mit seinem TPM authentifizieren, während Cloudflare’s Inventarsystem Zinc die Maschinenidentität und den physischen Standort des Rechenzentrums überprüft. Die Wurzelschlüssel werden dann nur in flüchtige Linux-Kernel-Keyrings geladen statt in persistenten Speicher, sodass ein Neustart sie aus dem Speicher entfernt.

Zugriffskontrollen und Einführung

Ein bemerkenswerter Punkt des Designs ist das Durchsetzungsmodell. Laut dem Bericht setzt Cloudflare auf eine strikte Fail-Closed-Policy: Wenn ein Edge-Server in einer nicht autorisierten geografischen Region nicht über den erforderlichen regionalen Wurzelschlüssel verfügt, verwirft er die Anfrage, anstatt eine grenzüberschreitende Entschlüsselung zu versuchen.

Die geschlossene Beta richtet sich zunächst an Unternehmenskunden von Cloudflare One Zero Trust-Produkten, darunter Magic WAN, Tunnel und Gateway. Die vollständige Integration in Cloudflare’s Content Delivery Network ist laut dem Bericht vor der allgemeinen Verfügbarkeit im ersten Quartal 2027 geplant.

Warum das wichtig ist

Für Unternehmenskäufer liegt die Ankündigung an der Schnittstelle von Post-Quanten-Migration und der Einhaltung von Vorgaben zur Datenresidenz. Der entscheidende Punkt ist nicht nur der Einsatz neuer Algorithmen, sondern die Kopplung des kryptografischen Zugriffs an physische Geografie und Hardware-Attestierung. Diese Kombination könnte für Organisationen attraktiv sein, die strenge regionale Vorgaben für den Umgang mit verschlüsseltem Datenverkehr und Schlüsselmaterial erfüllen müssen.

Beobachten wird man als Nächstes, ob Cloudflare die regionale Granularität über die derzeit dokumentierten Optionen hinaus erweitert und wie schnell Kunden mit Blick auf den Start 2027 vom bestehenden Geo Key Manager auf die Post-Quanten-Version wechseln.