Cloudflare dodaje postkwantowy Geo Key Manager do regionalnej kontroli kluczy

Cloudflare uruchomił zamkniętą betę postkwantowego Geo Key Managera, wykorzystującego hybrydowe ML-KEM-768 i X25519 do regionalnej kontroli dostępu do kluczy.

Ta strona została przetłumaczona z angielskiego. Nazwy firm i produktów oraz linki do źródeł pozostają bez zmian. Przeczytaj oryginał po angielsku

Cloudflare uruchomił w zamkniętej becie postkwantową wersję swojego Geo Key Managera, rozszerzając zestaw narzędzi do lokalizacji danych o kryptografię hybrydową, której celem jest utrzymanie dostępu do kluczy prywatnych w obrębie wybranych obszarów geograficznych. Jak wynika z materiału Quantum Computing Report, powołującego się na materiały Cloudflare, nowa usługa jest częścią pakietu Data Localization Suite i ma być ogólnie dostępna w pierwszym kwartale 2027 roku.

Co ogłoszono

Nowa oferta, nazwana Post-Quantum Geo Key Manager, została zaprojektowana tak, aby umożliwić przedsiębiorstwom określenie, gdzie w globalnej sieci Cloudflare mogą być odszyfrowywane prywatne klucze TLS i klucze do deszyfrowania ruchu. Firma przedstawia ten produkt jako sposób na spełnienie zarówno regionalnych wymogów suwerenności danych, jak i ograniczenie długoterminowego ryzyka kryptograficznego, w tym zagrożeń typu „harvest-now, decrypt-later”.

Dokumentacja Cloudflare podaje, że Data Localization Suite to płatny dodatek dostępny wyłącznie dla klientów korporacyjnych, którzy potrzebują kontroli nad tym, gdzie dane są kontrolowane, przechowywane i odszyfrowywane, przy jednoczesnym korzystaniu z globalnej infrastruktury Cloudflare. Obecna dokumentacja Geo Key Managera pokazuje też, że wcześniejsza wersja obsługiwała trzy regiony — USA, UE oraz zestaw centrów danych o podwyższonym poziomie bezpieczeństwa — a klienci zainteresowani innymi krajami lub regionami mogą zgłosić się do zamkniętej bety nowej wersji.

Szczegóły techniczne

Według raportu postkwantowy projekt zastępuje wcześniejszą architekturę opartą na szyfrowaniu opartym na atrybutach z polityką szyfrogramu (ciphertext-policy attribute-based encryption) podejściem wykorzystującym hybrydowe szyfrowanie kluczem publicznym. Nowy system łączy ML-KEM-768, określony tam jako NIST FIPS 203, z X25519 w ramach Hybrid HPKE zgodnie z RFC 9180.

Podawane uzasadnienie ma charakter praktyczny: standaryzowane, gotowe do wdrożeń produkcyjnych postkwantowe szyfrowanie oparte na atrybutach nie jest obecnie dostępne, dlatego Cloudflare przeprojektował rozwiązanie wokół HPKE. W tej konstrukcji hybrydowej poufność ma zostać zachowana nawet wtedy, gdy jeden z dwóch bazowych mechanizmów zostanie w przyszłości złamany.

Raport podaje, że usługa wykorzystuje AES-256-GCM oraz HKDF-SHA-256 do szyfrowania symetrycznego i wyprowadzania kluczy. Opisuje też hierarchiczny model oparty na 256-bitowym regionalnym kluczu głównym oraz parach kluczy usług, który ma ograniczać skalę potencjalnych skutków naruszenia między usługami i regionalnymi epokami.

Po stronie infrastruktury Cloudflare ma rozdzielać globalnie dystrybuowane szyfrogramy od regionalnego materiału kluczowego potrzebnego do ich odszyfrowania. Zaszyfrowane klucze prywatne klientów są globalnie dystrybuowane przez Quicksilver, rozproszony magazyn klucz-wartość Cloudflare, natomiast regionalne klucze główne są dostarczane przez zabezpieczoną usługę control plane wspieraną przez lokalne klastry HashiCorp Vault.

Zanim serwer będzie mógł otrzymać regionalny klucz główny, raport podaje, że musi uwierzytelnić się za pomocą swojego TPM, podczas gdy system inwentaryzacyjny Zinc firmy Cloudflare weryfikuje tożsamość maszyny i fizyczną lokalizację centrum danych. Klucze główne są następnie ładowane wyłącznie do ulotnych keyringów jądra Linux, a nie do trwałej pamięci masowej, więc ponowne uruchomienie usuwa je z pamięci.

Kontrola dostępu i harmonogram wdrożenia

Istotnym elementem projektu jest model egzekwowania zasad. Według raportu Cloudflare stosuje ścisłą politykę fail-closed: jeśli serwer brzegowy w nieautoryzowanym obszarze geograficznym nie ma wymaganego regionalnego klucza głównego, odrzuca żądanie zamiast próbować transgranicznego deszyfrowania.

Zamknięta beta jest początkowo skierowana do użytkowników korporacyjnych produktów Cloudflare One Zero Trust, w tym Magic WAN, Tunnel i Gateway. Pełna integracja z siecią dostarczania treści Cloudflare jest planowana przed ogólną premierą w Q1 2027, wynika z raportu.

Dlaczego to ma znaczenie

Dla nabywców korporacyjnych ogłoszenie to znajduje się na styku migracji do rozwiązań postkwantowych i zgodności z wymogami rezydencji danych. Kluczowe znaczenie ma tu nie tylko użycie nowych algorytmów, lecz także powiązanie dostępu kryptograficznego z fizyczną lokalizacją geograficzną i atestacją sprzętową. To połączenie może być atrakcyjne dla organizacji objętych rygorystycznymi regionalnymi zasadami dotyczącymi obsługi zaszyfrowanego ruchu i materiału kluczowego.

Warto teraz obserwować, czy Cloudflare zwiększy szczegółowość podziału regionalnego poza obecnie udokumentowane opcje oraz jak szybko klienci będą przechodzić z dotychczasowego Geo Key Managera na wersję postkwantową w miarę zbliżania się premiery w 2027 roku.