Cloudflare añade un Geo Key Manager poscuántico para el control regional de claves

Cloudflare ha lanzado una beta cerrada de un Geo Key Manager poscuántico que utiliza ML-KEM-768 híbrido y X25519 para el control regional del acceso a claves.

Esta página fue traducida del inglés. Los nombres de empresas y productos, así como los enlaces a las fuentes, no se han modificado. Leer el original en inglés

Cloudflare ha puesto en beta cerrada una actualización poscuántica de su Geo Key Manager, ampliando sus herramientas de localización de datos con criptografía híbrida orientada a mantener el acceso a las claves privadas dentro de geografías seleccionadas. Según un informe de Quantum Computing Report que cita materiales de Cloudflare, el nuevo servicio forma parte del Data Localization Suite de la compañía y está previsto para disponibilidad general en el primer trimestre de 2027.

Qué se anunció

La nueva oferta, llamada Post-Quantum Geo Key Manager, está diseñada para permitir que las empresas especifiquen dónde pueden desenvolverse las claves privadas de TLS y de descifrado de transporte en toda la red global de Cloudflare. La compañía presenta el producto como una forma de abordar tanto los requisitos regionales de soberanía de los datos como el riesgo criptográfico a largo plazo, incluidas las llamadas amenazas de “capturar ahora, descifrar después”.

La documentación de Cloudflare indica que el Data Localization Suite es un complemento de pago exclusivo para empresas, dirigido a clientes que necesitan controlar dónde se inspeccionan, almacenan y descifran los datos mientras siguen utilizando la infraestructura global de Cloudflare. La documentación existente de Geo Key Manager también muestra que la versión anterior admitía tres regiones — EE. UU., la U.E. y un conjunto de centros de datos de alta seguridad — y que los clientes que busquen otras opciones de país o región pueden solicitar acceso a la beta cerrada de la nueva versión.

Los detalles técnicos

Según el informe, el diseño poscuántico sustituye una arquitectura anterior basada en cifrado basado en atributos con política de texto cifrado por un enfoque híbrido de cifrado de clave pública. El nuevo sistema combina ML-KEM-768, identificado allí como NIST FIPS 203, con X25519 bajo Hybrid HPKE, tal como se especifica en RFC 9180.

La justificación expuesta es práctica: actualmente no existe un cifrado poscuántico basado en atributos estandarizado y listo para producción, por lo que Cloudflare rediseñó la arquitectura en torno a HPKE. En la construcción híbrida, se pretende mantener la confidencialidad incluso si más adelante se vulnera uno de los dos mecanismos subyacentes.

El informe afirma que el servicio utiliza AES-256-GCM y HKDF-SHA-256 para el cifrado simétrico y la derivación de claves. También describe un modelo jerárquico construido en torno a una clave raíz regional de 256 bits y pares de claves de servicio, con el objetivo de limitar el radio de impacto entre servicios y épocas regionales.

En el plano de la infraestructura, Cloudflare, según se informa, separa el texto cifrado distribuido globalmente del material de claves regional necesario para desenvolverlo. Las claves privadas de clientes encapsuladas se distribuyen globalmente mediante Quicksilver, el almacén distribuido de clave-valor de Cloudflare, mientras que las claves raíz regionales se aprovisionan mediante un servicio seguro del plano de control respaldado por clústeres locales de HashiCorp Vault.

Antes de que un servidor pueda recibir una clave raíz regional, el informe dice que debe autenticarse con su TPM, mientras que el sistema de inventario Zinc de Cloudflare verifica la identidad de la máquina y la ubicación física del centro de datos. Después, las claves raíz se cargan solo en keyrings volátiles del kernel de Linux, en lugar de en almacenamiento persistente, de modo que un reinicio las borra de la memoria.

Controles de acceso y despliegue

Un aspecto destacado del diseño es el modelo de aplicación. Según el informe, Cloudflare utiliza una política estricta de fallo seguro por denegación (fail-closed): si un servidor de borde en una geografía no autorizada no dispone de la clave raíz regional requerida, descarta la solicitud en lugar de intentar un descifrado transfronterizo.

La beta cerrada está dirigida inicialmente a usuarios empresariales de los productos Cloudflare One Zero Trust, incluidos Magic WAN, Tunnel y Gateway. Según el informe, antes de la disponibilidad general en el primer trimestre de 2027 está prevista la integración completa con la red de distribución de contenido de Cloudflare.

Por qué importa

Para los compradores empresariales, el anuncio se sitúa en la intersección entre la migración poscuántica y el cumplimiento de los requisitos de residencia de los datos. El punto clave no es simplemente usar nuevos algoritmos, sino vincular el acceso criptográfico a la geografía física y a la atestación de hardware. Esa combinación podría resultar atractiva para organizaciones sujetas a normas regionales estrictas sobre el tratamiento del tráfico cifrado y del material criptográfico.

Lo que habrá que observar a continuación es si Cloudflare amplía la granularidad regional más allá de las opciones documentadas actualmente, y con qué rapidez los clientes pasan del Geo Key Manager existente a la versión poscuántica a medida que se acerca el lanzamiento de 2027.