Cloudflare adiciona Geo Key Manager pós-quântico para controle regional de chaves

A Cloudflare lançou uma beta fechada de um Geo Key Manager pós-quântico usando ML-KEM-768 híbrido e X25519 para controle regional de acesso a chaves.

Esta página foi traduzida do inglês. Os nomes de empresas e produtos e os links das fontes permanecem inalterados. Leia o original em inglês

A Cloudflare colocou em beta fechada uma atualização pós-quântica de seu Geo Key Manager, ampliando suas ferramentas de localização de dados com criptografia híbrida voltada a manter o acesso a chaves privadas dentro de geografias selecionadas. Segundo uma reportagem da Quantum Computing Report, citando materiais da Cloudflare, o novo serviço faz parte do Data Localization Suite da empresa e está previsto para disponibilidade geral no primeiro trimestre de 2027.

O que foi anunciado

A nova oferta, chamada Post-Quantum Geo Key Manager, foi projetada para permitir que empresas especifiquem onde chaves privadas de TLS e de descriptografia de transporte podem ser desembrulhadas em toda a rede global da Cloudflare. A empresa apresenta o produto como uma forma de atender tanto a exigências regionais de soberania de dados quanto ao risco criptográfico de longo prazo, incluindo as chamadas ameaças de “colher agora, descriptografar depois”.

A documentação da Cloudflare diz que o Data Localization Suite é um complemento pago apenas para empresas, destinado a clientes que precisam de controle sobre onde os dados são inspecionados, armazenados e descriptografados, sem deixar de usar a infraestrutura global da Cloudflare. A documentação existente do Geo Key Manager também mostra que a versão anterior oferecia suporte a três regiões — os EUA, a UE e um conjunto de data centers de alta segurança — e que clientes que buscam outras opções de país ou região podem se candidatar à beta fechada da nova versão.

Os detalhes técnicos

Segundo a reportagem, o desenho pós-quântico substitui uma arquitetura anterior baseada em criptografia baseada em atributos com política de texto cifrado por uma abordagem híbrida de criptografia de chave pública. O novo sistema combina ML-KEM-768, identificado ali como NIST FIPS 203, com X25519 sob Hybrid HPKE, conforme especificado na RFC 9180.

A justificativa apresentada é prática: criptografia baseada em atributos pós-quântica padronizada e pronta para produção não está disponível atualmente, então a Cloudflare reformulou o desenho em torno de HPKE. Na construção híbrida, a confidencialidade deve ser preservada mesmo que um dos dois mecanismos subjacentes venha a ser quebrado mais tarde.

A reportagem afirma que o serviço usa AES-256-GCM e HKDF-SHA-256 para criptografia simétrica e derivação de chaves. Ela também descreve um modelo hierárquico construído em torno de uma chave-raiz regional de 256 bits e pares de chaves de serviço, com o objetivo de limitar o raio de impacto entre serviços e épocas regionais.

No lado da infraestrutura, a Cloudflare supostamente separa o texto cifrado distribuído globalmente do material de chave regional necessário para desembrulhá-lo. As chaves privadas de clientes encapsuladas são distribuídas globalmente por meio do Quicksilver, o armazenamento distribuído de chave-valor da Cloudflare, enquanto as chaves-raiz regionais são provisionadas por um serviço seguro de plano de controle apoiado por clusters locais de HashiCorp Vault.

Antes que um servidor possa receber uma chave-raiz regional, a reportagem diz que ele precisa se autenticar com seu TPM, enquanto o sistema de inventário Zinc da Cloudflare verifica a identidade da máquina e a localização física do data center. As chaves-raiz então são carregadas apenas em keyrings voláteis do kernel Linux, em vez de armazenamento persistente, de modo que uma reinicialização as apaga da memória.

Controles de acesso e implementação

Um ponto de destaque do desenho é o modelo de aplicação. Segundo a reportagem, a Cloudflare usa uma política estrita de fail-closed: se um servidor de borda em uma geografia não autorizada não tiver a chave-raiz regional necessária, ele descarta a solicitação em vez de tentar uma descriptografia transfronteiriça.

A beta fechada é inicialmente voltada a usuários corporativos dos produtos Cloudflare One Zero Trust, incluindo Magic WAN, Tunnel e Gateway. A integração completa com a rede de distribuição de conteúdo da Cloudflare está planejada antes da disponibilidade geral no primeiro trimestre de 2027, segundo a reportagem.

Por que isso importa

Para compradores corporativos, o anúncio fica na interseção entre a migração pós-quântica e a conformidade com residência de dados. O ponto principal não é apenas usar novos algoritmos, mas vincular o acesso criptográfico à geografia física e à atestação de hardware. Essa combinação pode atrair organizações sujeitas a regras regionais rígidas para o tratamento de tráfego criptografado e material de chaves.

O que observar a seguir é se a Cloudflare vai ampliar a granularidade regional além das opções atualmente documentadas, e com que rapidez os clientes migrarão do Geo Key Manager existente para a versão pós-quântica à medida que o lançamento de 2027 se aproxima.