Cloudflare menambah Geo Key Manager pasca-kuantum untuk kawalan kunci mengikut rantau

Cloudflare telah melancarkan beta tertutup bagi Geo Key Manager pasca-kuantum yang menggunakan hibrid ML-KEM-768 dan X25519 untuk kawalan akses kunci mengikut rantau.

Halaman ini diterjemahkan daripada bahasa Inggeris. Nama syarikat dan produk serta pautan sumber kekal tidak berubah. Baca versi asal dalam bahasa Inggeris

Cloudflare telah meletakkan naik taraf pasca-kuantum bagi Geo Key Manager miliknya ke dalam beta tertutup, sekali gus memperluas set alat penyetempatan datanya dengan kriptografi hibrid yang bertujuan memastikan akses kunci peribadi kekal dalam geografi terpilih. Menurut laporan oleh Quantum Computing Report yang memetik bahan Cloudflare, perkhidmatan baharu itu merupakan sebahagian daripada Data Localization Suite syarikat dan dijadualkan tersedia secara umum pada suku pertama 2027.

Apa yang diumumkan

Tawaran baharu itu, yang dinamakan Post-Quantum Geo Key Manager, direka untuk membolehkan perusahaan menetapkan lokasi kunci peribadi TLS dan kunci penyahsulitan pengangkutan boleh dinyahbungkus merentas rangkaian global Cloudflare. Syarikat itu meletakkan produk ini sebagai cara untuk menangani kedua-dua keperluan kedaulatan data serantau dan risiko kriptografi jangka panjang, termasuk ancaman yang dikenali sebagai harvest-now, decrypt-later.

Dokumentasi Cloudflare menyatakan bahawa Data Localization Suite ialah tambahan berbayar khusus perusahaan untuk pelanggan yang memerlukan kawalan ke atas lokasi data diperiksa, disimpan dan dinyahsulit sambil terus menggunakan infrastruktur global Cloudflare. Dokumentasi Geo Key Manager sedia ada juga menunjukkan bahawa versi terdahulu menyokong tiga rantau — A.S., E.U., dan satu set pusat data berkeselamatan tinggi — serta pelanggan yang mahukan pilihan negara atau rantau lain boleh memohon untuk beta tertutup versi baharu itu.

Butiran teknikal

Menurut laporan itu, reka bentuk pasca-kuantum ini menggantikan seni bina terdahulu yang berasaskan penyulitan berasaskan atribut dasar teks sifer dengan pendekatan penyulitan kunci awam hibrid. Sistem baharu ini menggabungkan ML-KEM-768, yang dikenal pasti di situ sebagai NIST FIPS 203, dengan X25519 di bawah Hybrid HPKE seperti yang ditetapkan dalam RFC 9180.

Rasional yang dilaporkan adalah bersifat praktikal: penyulitan berasaskan atribut pasca-kuantum yang distandardkan dan sedia untuk pengeluaran pada masa ini belum tersedia, jadi Cloudflare mereka semula reka bentuk tersebut berasaskan HPKE. Dalam binaan hibrid itu, kerahsiaan bertujuan untuk kekal terpelihara walaupun salah satu daripada dua mekanisme asas itu dipecahkan pada masa hadapan.

Laporan itu menyebut perkhidmatan tersebut menggunakan AES-256-GCM dan HKDF-SHA-256 untuk penyulitan simetri dan terbitan kunci. Ia juga menerangkan model berhierarki yang dibina berasaskan kunci akar serantau 256-bit dan pasangan kunci perkhidmatan, yang bertujuan mengehadkan skop kesan merentas perkhidmatan dan epok serantau.

Dari sudut infrastruktur, Cloudflare dilaporkan memisahkan teks sifer yang diedarkan secara global daripada bahan kunci serantau yang diperlukan untuk menyahbungkusnya. Kunci peribadi pelanggan yang telah dibungkus diedarkan secara global melalui Quicksilver, stor nilai-kunci teragih Cloudflare, manakala kunci akar serantau diperuntukkan melalui perkhidmatan control-plane yang dilindungi dan disokong oleh kluster HashiCorp Vault di premis.

Sebelum sesebuah pelayan boleh menerima kunci akar serantau, laporan itu menyatakan ia mesti mengesahkan dirinya dengan TPM, manakala sistem inventori Zinc milik Cloudflare mengesahkan identiti mesin dan lokasi fizikal pusat data. Kunci akar kemudian dimuatkan hanya ke dalam keyring kernel Linux yang meruap dan bukannya storan berterusan, jadi but semula akan mengosongkannya daripada memori.

Kawalan akses dan pelancaran

Satu perkara reka bentuk yang ketara ialah model penguatkuasaan. Menurut laporan itu, Cloudflare menggunakan dasar fail-closed yang ketat: jika pelayan edge di geografi yang tidak dibenarkan tidak mempunyai kunci akar serantau yang diperlukan, ia menggugurkan permintaan itu dan bukannya cuba melakukan penyahsulitan rentas sempadan.

Beta tertutup itu pada peringkat awal disasarkan kepada pengguna perusahaan bagi produk Cloudflare One Zero Trust termasuk Magic WAN, Tunnel dan Gateway. Integrasi penuh dengan rangkaian penghantaran kandungan Cloudflare dirancang sebelum keluaran umum Q1 2027, menurut laporan itu.

Mengapa ia penting

Bagi pembeli perusahaan, pengumuman ini terletak di persimpangan antara migrasi pasca-kuantum dan pematuhan residensi data. Perkara utama bukan sekadar menggunakan algoritma baharu, tetapi mengikat akses kriptografi kepada geografi fizikal dan pengesahan perkakasan. Gabungan itu boleh menarik minat organisasi yang berdepan peraturan pengendalian serantau yang ketat bagi trafik tersulit dan bahan kunci.

Perkara yang perlu diperhatikan seterusnya ialah sama ada Cloudflare memperluas granulariti serantau melangkaui pilihan yang didokumenkan pada masa ini, dan seberapa cepat pelanggan beralih daripada Geo Key Manager sedia ada kepada versi pasca-kuantum apabila pelancaran 2027 semakin hampir.