Cloudflare voegt post-quantum Geo Key Manager toe voor regionale sleutelcontrole

Cloudflare heeft een gesloten bèta gelanceerd van een post-quantum Geo Key Manager die hybride ML-KEM-768 en X25519 gebruikt voor regionale toegangscontrole tot sleutels.

Deze pagina is vertaald vanuit het Engels. Bedrijfs- en productnamen en bronlinks zijn ongewijzigd. Lees het origineel in het Engels

Cloudflare heeft een post-quantum upgrade van zijn Geo Key Manager in gesloten bèta uitgebracht, waarmee het zijn tooling voor datalokalisatie uitbreidt met hybride cryptografie die erop is gericht toegang tot privésleutels binnen geselecteerde geografische gebieden te houden. Volgens een bericht van Quantum Computing Report, dat verwijst naar materiaal van Cloudflare, maakt de nieuwe dienst deel uit van de Data Localization Suite van het bedrijf en staat algemene beschikbaarheid gepland voor het eerste kwartaal van 2027.

Wat is aangekondigd

De nieuwe dienst, Post-Quantum Geo Key Manager genaamd, is ontworpen om ondernemingen te laten bepalen waar private TLS- en transportontsleutelingssleutels binnen het wereldwijde netwerk van Cloudflare kunnen worden ontsleuteld. Het bedrijf positioneert het product als een manier om zowel te voldoen aan regionale vereisten rond datasoevereiniteit als om cryptografische risico’s op de lange termijn aan te pakken, waaronder de zogeheten harvest-now, decrypt-later-dreiging.

In de documentatie van Cloudflare staat dat de Data Localization Suite een betaalde add-on uitsluitend voor ondernemingen is, voor klanten die controle nodig hebben over waar data wordt geïnspecteerd, opgeslagen en ontsleuteld, terwijl ze toch gebruikmaken van de wereldwijde infrastructuur van Cloudflare. Uit de bestaande documentatie voor Geo Key Manager blijkt ook dat de eerdere versie drie regio’s ondersteunde — de VS, de EU en een reeks datacenters met hoge beveiliging — en dat klanten die andere landen- of regio-opties zoeken zich kunnen aanmelden voor de gesloten bèta van de nieuwe versie.

De technische details

Volgens het bericht vervangt het post-quantum ontwerp een eerdere architectuur die was gebaseerd op ciphertext-policy attribute-based encryption door een hybride benadering van public-key-encryptie. Het nieuwe systeem combineert ML-KEM-768, daar aangeduid als NIST FIPS 203, met X25519 onder Hybrid HPKE zoals gespecificeerd in RFC 9180.

De gemelde reden daarvoor is praktisch: gestandaardiseerde, productierijpe post-quantum attribute-based encryption is momenteel niet beschikbaar, dus heeft Cloudflare het ontwerp rond HPKE herwerkt. In de hybride constructie is het de bedoeling dat de vertrouwelijkheid behouden blijft, zelfs als een van de twee onderliggende mechanismen later wordt gekraakt.

Het bericht meldt dat de dienst AES-256-GCM en HKDF-SHA-256 gebruikt voor symmetrische encryptie en sleutelafleiding. Ook beschrijft het een hiërarchisch model rond een regionale rootsleutel van 256 bits en service-sleutelparen, bedoeld om de impact over diensten en regionale tijdvakken te beperken.

Aan de infrastructuurkant scheidt Cloudflare volgens het bericht wereldwijd verspreide ciphertext van het regionale sleutelmateriaal dat nodig is om die te ontsleutelen. Ingepakte private sleutels van klanten worden wereldwijd verspreid via Quicksilver, de gedistribueerde key-value store van Cloudflare, terwijl regionale rootsleutels worden uitgerold via een beveiligde control-plane-dienst die wordt ondersteund door on-premises HashiCorp Vault-clusters.

Voordat een server een regionale rootsleutel kan ontvangen, moet die zich volgens het bericht authenticeren met zijn TPM, terwijl het Zinc-inventarissysteem van Cloudflare de identiteit van de machine en de fysieke locatie van het datacenter verifieert. Rootsleutels worden vervolgens alleen geladen in vluchtige Linux-kernel-keyrings in plaats van in persistente opslag, zodat een herstart ze uit het geheugen wist.

Toegangscontrole en uitrol

Een opvallend ontwerppunt is het handhavingsmodel. Volgens het bericht gebruikt Cloudflare een strikt fail-closed-beleid: als een edge-server in een niet-geautoriseerd geografisch gebied niet over de vereiste regionale rootsleutel beschikt, laat die het verzoek vallen in plaats van te proberen grensoverschrijdend te ontsleutelen.

De gesloten bèta is in eerste instantie gericht op enterprisegebruikers van Cloudflare One Zero Trust-producten, waaronder Magic WAN, Tunnel en Gateway. Volledige integratie met het content delivery network van Cloudflare staat gepland vóór de algemene beschikbaarheid in Q1 2027, aldus het bericht.

Waarom dit van belang is

Voor zakelijke kopers bevindt deze aankondiging zich op het snijvlak van post-quantum migratie en naleving van regels rond dataresidentie. Het belangrijkste punt is niet alleen het gebruik van nieuwe algoritmen, maar het koppelen van cryptografische toegang aan fysieke geografie en hardware-attestatie. Die combinatie kan aantrekkelijk zijn voor organisaties die te maken hebben met strikte regionale regels voor de omgang met versleuteld verkeer en sleutelmateriaal.

Waar nu op moet worden gelet, is of Cloudflare de regionale granulariteit uitbreidt voorbij de momenteel gedocumenteerde opties, en hoe snel klanten van de bestaande Geo Key Manager overstappen naar de post-quantum versie naarmate de lancering in 2027 dichterbij komt.