Cloudflare نسخهٔ پساکوانتومی Geo Key Manager را برای کنترل منطقه‌ای کلیدها اضافه کرد

Cloudflare بتای بستهٔ یک Geo Key Manager پساکوانتومی را با استفاده از ML-KEM-768 و X25519 ترکیبی برای کنترل دسترسی منطقه‌ای به کلیدها راه‌اندازی کرده است.

این صفحه از انگلیسی ترجمه شده است. نام شرکت‌ها، محصولات و پیوندهای منابع بدون تغییر باقی مانده‌اند. خواندن نسخه اصلی انگلیسی

Cloudflare ارتقای پساکوانتومی Geo Key Manager خود را وارد مرحلهٔ بتای بسته کرده و ابزارهای بومی‌سازی دادهٔ خود را با رمزنگاری ترکیبی گسترش داده است؛ رویکردی که با هدف حفظ دسترسی به کلیدهای خصوصی در محدودهٔ جغرافیایی انتخاب‌شده طراحی شده است. بر اساس گزارشی از Quantum Computing Report به نقل از منابع Cloudflare، این سرویس جدید بخشی از Data Localization Suite این شرکت است و عرضهٔ عمومی آن برای سه‌ماههٔ نخست ۲۰۲۷ برنامه‌ریزی شده است.

چه چیزی اعلام شد

محصول جدید که Post-Quantum Geo Key Manager نام دارد، طوری طراحی شده است که به سازمان‌ها امکان دهد مشخص کنند در کدام نقاط، کلیدهای خصوصی TLS و کلیدهای رمزگشایی لایهٔ انتقال در سراسر شبکهٔ جهانی Cloudflare می‌توانند از حالت بسته‌بندی‌شده خارج شوند. Cloudflare این محصول را راهی برای پاسخ‌گویی هم‌زمان به الزامات منطقه‌ای حاکمیت داده و ریسک‌های بلندمدت رمزنگاری، از جمله تهدیدهای موسوم به «اکنون جمع‌آوری کن، بعداً رمزگشایی کن» معرفی می‌کند.

مستندات Cloudflare می‌گوید Data Localization Suite یک افزونهٔ پولی ویژهٔ مشتریان سازمانی است که برای مشتریانی طراحی شده که می‌خواهند همچنان از زیرساخت جهانی Cloudflare استفاده کنند، اما در عین حال بر محل بازرسی، ذخیره‌سازی و رمزگشایی داده کنترل داشته باشند. مستندات فعلی Geo Key Manager نیز نشان می‌دهد که نسخهٔ قبلی از سه منطقه — ایالات متحده، اتحادیهٔ اروپا، و مجموعه‌ای از مراکز داده با امنیت بالا — پشتیبانی می‌کرد و مشتریانی که گزینه‌های دیگرِ کشور یا منطقه را می‌خواهند، می‌توانند برای بتای بستهٔ نسخهٔ جدید درخواست دهند.

جزئیات فنی

بر اساس این گزارش، طراحی پساکوانتومی جایگزین معماری قبلی مبتنی بر رمزنگاری مبتنی بر ویژگی با سیاست متن رمز (ciphertext-policy attribute-based encryption) شده و از رویکرد رمزنگاری کلید عمومی ترکیبی استفاده می‌کند. سامانهٔ جدید ML-KEM-768 را، که در آنجا به‌عنوان NIST FIPS 203 معرفی شده، با X25519 در قالب Hybrid HPKE مطابق RFC 9180 ترکیب می‌کند.

استدلال مطرح‌شده در گزارش، ماهیتی عملی دارد: در حال حاضر، رمزنگاری مبتنی بر ویژگیِ پساکوانتومیِ استانداردشده و آمادهٔ استفاده در محیط عملیاتی در دسترس نیست، بنابراین Cloudflare طراحی را بر پایهٔ HPKE بازطراحی کرده است. در این ساختار ترکیبی، محرمانگی به‌گونه‌ای طراحی شده که حتی اگر یکی از دو سازوکار زیربنایی بعداً شکسته شود، همچنان حفظ شود.

گزارش می‌گوید این سرویس از AES-256-GCM و HKDF-SHA-256 برای رمزنگاری متقارن و مشتق‌سازی کلید استفاده می‌کند. همچنین مدلی سلسله‌مراتبی را توصیف می‌کند که بر یک کلید ریشهٔ منطقه‌ای 256-bit و جفت‌کلیدهای سرویس بنا شده و هدف آن محدود کردن دامنهٔ اثر در میان سرویس‌ها و دوره‌های زمانی منطقه‌ای است.

در بخش زیرساخت، Cloudflare ظاهراً متن‌های رمزِ توزیع‌شده در سطح جهانی را از مواد کلیدی منطقه‌ایِ لازم برای خارج کردن آن‌ها از حالت بسته‌بندی جدا می‌کند. کلیدهای خصوصیِ بسته‌بندی‌شدهٔ مشتری از طریق Quicksilver، فروشگاه کلید-مقدار توزیع‌شدهٔ Cloudflare، در سطح جهانی توزیع می‌شوند، در حالی که کلیدهای ریشهٔ منطقه‌ای از طریق یک سرویس امنِ کنترل‌پلین تأمین می‌شوند که توسط خوشه‌های HashiCorp Vault مستقر در محل پشتیبانی می‌شود.

گزارش می‌گوید پیش از آنکه یک سرور بتواند کلید ریشهٔ منطقه‌ای را دریافت کند، باید با TPM خود احراز هویت شود؛ در همین حال، سامانهٔ موجودی Zinc متعلق به Cloudflare هویت دستگاه و موقعیت فیزیکی مرکز داده را تأیید می‌کند. سپس کلیدهای ریشه فقط در keyringهای فرّارِ هستهٔ Linux بارگذاری می‌شوند، نه در فضای ذخیره‌سازی پایدار؛ بنابراین با راه‌اندازی مجدد، از حافظه پاک می‌شوند.

کنترل‌های دسترسی و عرضه

یکی از نکات مهم طراحی، مدل اعمال سیاست است. طبق این گزارش، Cloudflare از یک سیاست سخت‌گیرانهٔ fail-closed استفاده می‌کند: اگر یک سرور edge در جغرافیای غیرمجاز کلید ریشهٔ منطقه‌ای لازم را در اختیار نداشته باشد، درخواست را رد می‌کند و به‌جای آن تلاش نمی‌کند رمزگشایی برون‌مرزی انجام دهد.

بتای بسته در ابتدا برای کاربران سازمانی محصولات Cloudflare One Zero Trust، از جمله Magic WAN، Tunnel و Gateway، هدف‌گذاری شده است. بر اساس گزارش، ادغام کامل با شبکهٔ تحویل محتوای Cloudflare پیش از عرضهٔ عمومی در سه‌ماههٔ نخست ۲۰۲۷ برنامه‌ریزی شده است.

چرا مهم است

برای خریداران سازمانی، این اعلام در نقطهٔ تلاقی مهاجرت به فناوری‌های پساکوانتومی و انطباق با الزامات محل اقامت داده قرار می‌گیرد. نکتهٔ کلیدی صرفاً استفاده از الگوریتم‌های جدید نیست، بلکه پیوند دادن دسترسی رمزنگاری به جغرافیای فیزیکی و گواهی‌سنجی سخت‌افزاری است. این ترکیب می‌تواند برای سازمان‌هایی جذاب باشد که برای ترافیک رمزگذاری‌شده و مواد کلیدی با قواعد سخت‌گیرانهٔ منطقه‌ای در زمینهٔ نحوهٔ پردازش مواجه‌اند.

نکته‌ای که باید در ادامه زیر نظر گرفت این است که آیا Cloudflare سطح جزئیات منطقه‌بندی را فراتر از گزینه‌های فعلاً مستندسازی‌شده گسترش می‌دهد یا نه، و این‌که مشتریان با نزدیک شدن به زمان عرضه در ۲۰۲۷، با چه سرعتی از Geo Key Manager فعلی به نسخهٔ پساکوانتومی مهاجرت می‌کنند.