Cloudflare نے علاقائی کلید کے کنٹرول کے لیے پوسٹ-کوانٹم Geo Key Manager متعارف کرا دیا

Cloudflare نے علاقائی کلید تک رسائی کے کنٹرول کے لیے hybrid ML-KEM-768 اور X25519 استعمال کرنے والے ایک پوسٹ-کوانٹم Geo Key Manager کا closed beta شروع کر دیا ہے۔

یہ صفحہ انگریزی سے ترجمہ کیا گیا ہے۔ کمپنیوں اور مصنوعات کے نام اور ماخذ کے روابط تبدیل نہیں کیے گئے۔ اصل متن انگریزی میں پڑھیں

Cloudflare نے اپنے Geo Key Manager کے پوسٹ-کوانٹم اپ گریڈ کو closed beta میں شامل کر دیا ہے، جس کے ذریعے اس کے data-localization ٹولز کو hybrid cryptography کے ساتھ وسعت دی گئی ہے تاکہ نجی کلیدوں تک رسائی منتخب جغرافیوں کے اندر ہی رکھی جا سکے۔ Quantum Computing Report کی ایک رپورٹ، جس میں Cloudflare کے مواد کا حوالہ دیا گیا، کے مطابق یہ نئی سروس کمپنی کے Data Localization Suite کا حصہ ہے اور 2027 کی پہلی سہ ماہی میں عمومی دستیابی کے لیے شیڈول ہے۔

کیا اعلان کیا گیا

یہ نئی پیشکش، جسے Post-Quantum Geo Key Manager کہا جا رہا ہے، اس مقصد کے لیے تیار کی گئی ہے کہ ادارے یہ طے کر سکیں کہ Cloudflare کے عالمی نیٹ ورک میں نجی TLS اور transport decryption keys کو کہاں unwrapped کیا جا سکتا ہے۔ کمپنی اس پروڈکٹ کو ایک ایسے حل کے طور پر پیش کرتی ہے جو ایک طرف علاقائی data sovereignty کی ضروریات پوری کرے اور دوسری طرف طویل مدتی cryptographic risk، بشمول نام نہاد harvest-now, decrypt-later خطرات، سے نمٹنے میں مدد دے۔

Cloudflare کی دستاویزات کے مطابق Data Localization Suite صرف enterprise صارفین کے لیے ایک paid add-on ہے، ان صارفین کے لیے جنہیں اس بات پر کنٹرول چاہیے کہ ڈیٹا کہاں inspect، store اور decrypt کیا جائے، جبکہ وہ Cloudflare کے عالمی infrastructure کا استعمال بھی جاری رکھ سکیں۔ موجودہ Geo Key Manager کی دستاویزات یہ بھی ظاہر کرتی ہیں کہ پچھلا ورژن تین خطوں کی معاونت کرتا تھا — U.S.، E.U.، اور high-security data centers کا ایک مجموعہ — اور وہ صارفین جو کسی اور ملک یا خطے کے آپشنز چاہتے ہیں، نئے ورژن کے closed beta کے لیے درخواست دے سکتے ہیں۔

تکنیکی تفصیلات

رپورٹ کے مطابق، پوسٹ-کوانٹم ڈیزائن ایک سابقہ architecture کی جگہ لیتا ہے جو ciphertext-policy attribute-based encryption پر مبنی تھا، اور اس کی جگہ hybrid public-key encryption approach اختیار کی گئی ہے۔ نیا نظام ML-KEM-768 کو، جسے وہاں NIST FIPS 203 کے طور پر شناخت کیا گیا ہے، X25519 کے ساتھ Hybrid HPKE کے تحت یکجا کرتا ہے جیسا کہ RFC 9180 میں بیان کیا گیا ہے۔

بیان کردہ جواز عملی نوعیت کا ہے: standardized، production-ready پوسٹ-کوانٹم attribute-based encryption اس وقت دستیاب نہیں، اس لیے Cloudflare نے ڈیزائن کو HPKE کے گرد ازسرِ نو ترتیب دیا۔ اس hybrid construction میں مقصد یہ ہے کہ رازداری برقرار رہے، چاہے بعد میں ان دو بنیادی mechanisms میں سے ایک ٹوٹ ہی کیوں نہ جائے۔

رپورٹ میں کہا گیا ہے کہ یہ سروس symmetric encryption اور key derivation کے لیے AES-256-GCM اور HKDF-SHA-256 استعمال کرتی ہے۔ اس میں ایک hierarchical model بھی بیان کیا گیا ہے جو 256-bit regional root key اور service key pairs کے گرد بنایا گیا ہے، تاکہ مختلف سروسز اور regional epochs میں blast radius کو محدود رکھا جا سکے۔

infrastructure کے حوالے سے، رپورٹ کے مطابق Cloudflare عالمی سطح پر تقسیم شدہ ciphertext کو اس علاقائی key material سے الگ رکھتا ہے جو اسے unwrap کرنے کے لیے درکار ہوتا ہے۔ صارفین کی wrapped private keys کو Cloudflare کے distributed key-value store Quicksilver کے ذریعے عالمی سطح پر تقسیم کیا جاتا ہے، جبکہ regional root keys کو ایک secured control-plane service کے ذریعے provision کیا جاتا ہے جس کی پشت پناہی on-premises HashiCorp Vault clusters کرتے ہیں۔

رپورٹ کے مطابق، کسی server کو regional root key موصول ہونے سے پہلے اسے اپنے TPM کے ذریعے authenticate کرنا ہوتا ہے، جبکہ Cloudflare کا Zinc inventory system مشین کی شناخت اور data center کے حقیقی مقام کی تصدیق کرتا ہے۔ اس کے بعد root keys کو persistent storage کے بجائے صرف volatile Linux kernel keyrings میں load کیا جاتا ہے، لہٰذا reboot ہونے پر وہ memory سے صاف ہو جاتی ہیں۔

رسائی کے کنٹرولز اور rollout

ڈیزائن کا ایک نمایاں پہلو enforcement model ہے۔ رپورٹ کے مطابق Cloudflare سخت fail-closed policy استعمال کرتا ہے: اگر کسی غیر مجاز جغرافیے میں موجود edge server کے پاس مطلوبہ regional root key نہ ہو، تو وہ cross-border decryption کی کوشش کرنے کے بجائے درخواست کو drop کر دیتا ہے۔

رپورٹ کے مطابق، closed beta کا ابتدائی ہدف Cloudflare One Zero Trust products کے enterprise صارفین ہیں، جن میں Magic WAN، Tunnel اور Gateway شامل ہیں۔ عمومی ریلیز سے پہلے Q1 2027 تک Cloudflare کے content delivery network کے ساتھ مکمل integration کی منصوبہ بندی کی گئی ہے۔

یہ کیوں اہم ہے

enterprise خریداروں کے لیے یہ اعلان پوسٹ-کوانٹم migration اور data-residency compliance کے سنگم پر آتا ہے۔ بنیادی نکتہ صرف نئے algorithms کا استعمال نہیں، بلکہ cryptographic access کو physical geography اور hardware attestation کے ساتھ جوڑنا بھی ہے۔ یہ امتزاج ان اداروں کے لیے پرکشش ہو سکتا ہے جو encrypted traffic اور key material کی علاقائی handling کے سخت قواعد کا سامنا کر رہے ہیں۔

اب دیکھنے کی بات یہ ہے کہ آیا Cloudflare موجودہ دستاویزی آپشنز سے آگے بڑھ کر علاقائی granularity کو مزید وسعت دیتا ہے یا نہیں، اور 2027 کے launch کے قریب آتے ہوئے صارفین موجودہ Geo Key Manager سے پوسٹ-کوانٹم ورژن کی طرف کتنی تیزی سے منتقل ہوتے ہیں۔