Cloudflare ajoute un Geo Key Manager post-quantique pour le contrôle régional des clés

Cloudflare a lancé une bêta fermée de son Geo Key Manager post-quantique, qui utilise un schéma hybride ML-KEM-768 et X25519 pour le contrôle régional de l’accès aux clés.

Cette page a été traduite depuis l'anglais. Les noms d'entreprises et de produits ainsi que les liens vers les sources restent inchangés. Lire l'original en anglais

Cloudflare a placé en bêta fermée une mise à niveau post-quantique de son Geo Key Manager, élargissant ses outils de localisation des données avec une cryptographie hybride destinée à maintenir l’accès aux clés privées à l’intérieur de zones géographiques sélectionnées. Selon un article de Quantum Computing Report citant des documents de Cloudflare, ce nouveau service fait partie de la Data Localization Suite de l’entreprise et sa disponibilité générale est prévue au premier trimestre 2027.

Ce qui a été annoncé

La nouvelle offre, baptisée Post-Quantum Geo Key Manager, est conçue pour permettre aux entreprises de préciser où les clés privées TLS et les clés de déchiffrement de transport peuvent être déchiffrées au sein du réseau mondial de Cloudflare. L’entreprise présente ce produit comme un moyen de répondre à la fois aux exigences régionales de souveraineté des données et au risque cryptographique à long terme, y compris les menaces dites de type « harvest now, decrypt later ».

La documentation de Cloudflare indique que la Data Localization Suite est une option payante réservée aux entreprises, pour les clients qui ont besoin de contrôler où les données sont inspectées, stockées et déchiffrées tout en continuant d’utiliser l’infrastructure mondiale de Cloudflare. La documentation existante sur Geo Key Manager montre également que la version précédente prenait en charge trois régions — les États-Unis, l’Union européenne et un ensemble de centres de données à haute sécurité — et que les clients souhaitant d’autres options par pays ou par région peuvent demander à participer à la bêta fermée de la nouvelle version.

Les détails techniques

Selon l’article, l’architecture post-quantique remplace une conception précédente fondée sur le chiffrement par attributs basé sur une politique de texte chiffré, par une approche hybride de chiffrement à clé publique. Le nouveau système combine ML-KEM-768, identifié comme NIST FIPS 203, avec X25519 dans le cadre de Hybrid HPKE tel que spécifié dans la RFC 9180.

La justification avancée serait pragmatique : il n’existe pas actuellement de chiffrement par attributs post-quantique normalisé et prêt pour la production, si bien que Cloudflare a repensé l’architecture autour de HPKE. Dans cette construction hybride, la confidentialité est censée être préservée même si l’un des deux mécanismes sous-jacents venait à être compromis ultérieurement.

L’article indique que le service utilise AES-256-GCM et HKDF-SHA-256 pour le chiffrement symétrique et la dérivation de clé. Il décrit également un modèle hiérarchique construit autour d’une clé racine régionale de 256 bits et de paires de clés de service, afin de limiter l’étendue d’un incident entre les services et les époques régionales.

Sur le plan de l’infrastructure, Cloudflare séparerait les textes chiffrés distribués à l’échelle mondiale du matériel de clé régional nécessaire à leur déchiffrement. Les clés privées client encapsulées sont distribuées à l’échelle mondiale via Quicksilver, le magasin distribué clé-valeur de Cloudflare, tandis que les clés racines régionales sont provisionnées via un service de plan de contrôle sécurisé reposant sur des clusters HashiCorp Vault sur site.

Avant qu’un serveur puisse recevoir une clé racine régionale, l’article précise qu’il doit s’authentifier avec son TPM, tandis que le système d’inventaire Zinc de Cloudflare vérifie l’identité de la machine et l’emplacement physique du centre de données. Les clés racines sont ensuite chargées uniquement dans des keyrings volatils du noyau Linux plutôt que dans un stockage persistant, de sorte qu’un redémarrage les efface de la mémoire.

Contrôles d’accès et déploiement

Un point notable de la conception concerne le modèle d’application. Selon l’article, Cloudflare applique une politique stricte de type fail-closed : si un serveur edge situé dans une zone géographique non autorisée ne dispose pas de la clé racine régionale requise, il rejette la requête au lieu de tenter un déchiffrement transfrontalier.

La bêta fermée vise d’abord les utilisateurs entreprises des produits Cloudflare One Zero Trust, notamment Magic WAN, Tunnel et Gateway. Une intégration complète avec le réseau de diffusion de contenu de Cloudflare est prévue avant la disponibilité générale au T1 2027, selon l’article.

Pourquoi c’est important

Pour les acheteurs en entreprise, cette annonce se situe à l’intersection de la migration post-quantique et de la conformité en matière de résidence des données. Le point clé n’est pas seulement l’utilisation de nouveaux algorithmes, mais aussi le fait de lier l’accès cryptographique à la géographie physique et à l’attestation matérielle. Cette combinaison pourrait intéresser les organisations soumises à des règles régionales strictes pour le traitement du trafic chiffré et du matériel de clé.

Le point à surveiller ensuite sera de voir si Cloudflare élargit la granularité régionale au-delà des options actuellement documentées, et à quelle vitesse les clients passeront du Geo Key Manager existant à la version post-quantique à l’approche du lancement de 2027.