Cloudflare, bölgesel anahtar denetimi için post-kuantum Geo Key Manager’ı ekledi

Cloudflare, bölgesel anahtar erişim denetimi için hibrit ML-KEM-768 ve X25519 kullanan post-kuantum Geo Key Manager’ın kapalı beta sürümünü kullanıma sundu.

Bu sayfa İngilizceden çevrilmiştir. Şirket ve ürün adları ile kaynak bağlantıları değiştirilmemiştir. Orijinalini İngilizce okuyun

Cloudflare, Geo Key Manager’ın post-kuantum yükseltmesini kapalı beta sürecine aldı ve veri yerelleştirme araçlarını, özel anahtar erişimini seçilen coğrafi bölgeler içinde tutmayı amaçlayan hibrit kriptografiyle genişletti. Quantum Computing Report’un, Cloudflare materyallerine dayandırdığı bir habere göre yeni hizmet, şirketin Data Localization Suite paketinin parçası ve 2027’nin ilk çeyreğinde genel kullanıma sunulması planlanıyor.

Ne duyuruldu

Post-Quantum Geo Key Manager adı verilen yeni teklif, kurumların özel TLS ve taşıma şifre çözme anahtarlarının Cloudflare’ın küresel ağı genelinde hangi bölgelerde çözülebileceğini belirlemesine olanak tanımak için tasarlandı. Şirket, ürünü hem bölgesel veri egemenliği gereksinimlerini hem de “şimdi topla, sonra çöz” olarak adlandırılan tehditler dahil uzun vadeli kriptografik riski ele almanın bir yolu olarak konumlandırıyor.

Cloudflare dokümantasyonuna göre Data Localization Suite, verilerin nerede incelendiği, depolandığı ve şifresinin çözüldüğü üzerinde denetim isterken Cloudflare’ın küresel altyapısını kullanmaya devam etmesi gereken müşteriler için yalnızca kurumsal kullanıcılara sunulan ücretli bir ek paket. Mevcut Geo Key Manager dokümantasyonu ayrıca önceki sürümün üç bölgeyi desteklediğini gösteriyor — ABD, AB ve yüksek güvenlikli veri merkezlerinden oluşan bir grup — ve başka ülke veya bölge seçenekleri isteyen müşteriler yeni sürümün kapalı betasına başvurabiliyor.

Teknik ayrıntılar

Habere göre post-kuantum tasarım, şifreli metin politikası tabanlı öznitelik temelli şifrelemeye dayanan önceki mimarinin yerine hibrit açık anahtarlı şifreleme yaklaşımını getiriyor. Yeni sistem, burada NIST FIPS 203 olarak tanımlanan ML-KEM-768 ile RFC 9180’de belirtildiği biçimiyle Hybrid HPKE altında X25519’u birleştiriyor.

Aktarılan gerekçe pratik: standartlaştırılmış, üretime hazır post-kuantum öznitelik temelli şifreleme şu anda mevcut değil, bu nedenle Cloudflare tasarımı HPKE etrafında yeniden kurguladı. Hibrit yapıda, altta yatan iki mekanizmadan biri daha sonra kırılsa bile gizliliğin korunması hedefleniyor.

Haberde, hizmetin simetrik şifreleme ve anahtar türetimi için AES-256-GCM ve HKDF-SHA-256 kullandığı belirtiliyor. Ayrıca, hizmetler ve bölgesel dönemler genelinde etki alanını sınırlamayı amaçlayan, 256 bitlik bölgesel kök anahtar ve hizmet anahtar çiftleri etrafında kurulmuş hiyerarşik bir model de tarif ediliyor.

Altyapı tarafında Cloudflare’ın, küresel olarak dağıtılan şifreli metni, onu çözmek için gereken bölgesel anahtar materyalinden ayırdığı belirtiliyor. Sarılmış müşteri özel anahtarları, Cloudflare’ın dağıtık anahtar-değer deposu Quicksilver üzerinden küresel olarak dağıtılırken, bölgesel kök anahtarlar şirket içi HashiCorp Vault kümeleriyle desteklenen güvenli bir kontrol düzlemi hizmeti üzerinden sağlanıyor.

Bir sunucu bölgesel kök anahtar alabilmeden önce, habere göre TPM’i ile kimlik doğrulaması yapması gerekiyor; Cloudflare’ın Zinc envanter sistemi ise makine kimliğini ve fiziksel veri merkezi konumunu doğruluyor. Kök anahtarlar daha sonra kalıcı depolama yerine yalnızca geçici Linux çekirdeği anahtarlıklarına yükleniyor; böylece yeniden başlatma onları bellekten temizliyor.

Erişim kontrolleri ve yaygın kullanıma geçiş

Dikkat çekici tasarım noktalarından biri uygulama modeli. Habere göre Cloudflare, katı bir fail-closed politikası kullanıyor: yetkisiz bir coğrafi bölgedeki bir edge sunucusu gerekli bölgesel kök anahtara sahip değilse, sınır ötesi şifre çözmeyi denemek yerine isteği düşürüyor.

Kapalı beta başlangıçta Magic WAN, Tunnel ve Gateway dahil Cloudflare One Zero Trust ürünlerinin kurumsal kullanıcılarını hedefliyor. Habere göre 2027’nin ilk çeyreğindeki genel kullanıma sunumdan önce Cloudflare’ın içerik dağıtım ağıyla tam entegrasyon planlanıyor.

Neden önemli

Kurumsal alıcılar açısından bu duyuru, post-kuantum geçişi ile veri yerleşikliği uyumluluğunun kesişim noktasında yer alıyor. Buradaki kilit nokta yalnızca yeni algoritmalar kullanılması değil, kriptografik erişimin fiziksel coğrafya ve donanım doğrulamasına bağlanması. Bu birleşim, şifrelenmiş trafik ve anahtar materyali için katı bölgesel işleme kurallarıyla karşı karşıya olan kuruluşların ilgisini çekebilir.

Bundan sonra izlenecek konu, Cloudflare’ın bölgesel ayrıntı düzeyini şu anda belgelenmiş seçeneklerin ötesine taşıyıp taşımayacağı ve 2027’deki lansman yaklaşırken müşterilerin mevcut Geo Key Manager’dan post-kuantum sürüme ne kadar hızlı geçeceği olacak.