Cloudflare bổ sung Geo Key Manager hậu lượng tử để kiểm soát khóa theo khu vực

Cloudflare đã triển khai bản beta kín của Geo Key Manager hậu lượng tử, sử dụng kết hợp ML-KEM-768 và X25519 để kiểm soát quyền truy cập khóa theo khu vực.

Trang này được dịch từ tiếng Anh. Tên công ty, sản phẩm và liên kết nguồn được giữ nguyên. Đọc bản gốc tiếng Anh

Cloudflare đã đưa bản nâng cấp hậu lượng tử của Geo Key Manager vào giai đoạn beta kín, mở rộng bộ công cụ bản địa hóa dữ liệu của hãng bằng mật mã lai nhằm giữ quyền truy cập khóa riêng trong các khu vực địa lý được chọn. Theo một báo cáo của Quantum Computing Report dẫn lại tài liệu của Cloudflare, dịch vụ mới là một phần của Data Localization Suite của công ty và dự kiến sẽ được phát hành rộng rãi trong quý 1 năm 2027.

Những gì đã được công bố

Dịch vụ mới, có tên Post-Quantum Geo Key Manager, được thiết kế để cho phép doanh nghiệp chỉ định nơi các khóa riêng TLS và khóa giải mã vận chuyển có thể được giải bọc trên toàn bộ mạng toàn cầu của Cloudflare. Công ty định vị sản phẩm này như một cách để giải quyết cả các yêu cầu về chủ quyền dữ liệu theo khu vực lẫn rủi ro mật mã dài hạn, bao gồm cả mối đe dọa gọi là “thu thập ngay bây giờ, giải mã sau này”.

Tài liệu của Cloudflare cho biết Data Localization Suite là tiện ích bổ sung trả phí chỉ dành cho khách hàng doanh nghiệp cần kiểm soát nơi dữ liệu được kiểm tra, lưu trữ và giải mã trong khi vẫn sử dụng hạ tầng toàn cầu của Cloudflare. Tài liệu hiện có về Geo Key Manager cũng cho thấy phiên bản trước đó hỗ trợ ba khu vực — Mỹ, EU và một nhóm trung tâm dữ liệu bảo mật cao — và những khách hàng muốn có các lựa chọn quốc gia hoặc khu vực khác có thể đăng ký tham gia bản beta kín của phiên bản mới.

Chi tiết kỹ thuật

Theo báo cáo, thiết kế hậu lượng tử thay thế kiến trúc trước đây dựa trên mã hóa dựa trên thuộc tính theo chính sách bản mã bằng một phương pháp mã hóa khóa công khai lai. Hệ thống mới kết hợp ML-KEM-768, được xác định tại đó là NIST FIPS 203, với X25519 trong Hybrid HPKE như được quy định trong RFC 9180.

Lý do được nêu ra mang tính thực tiễn: hiện chưa có mã hóa dựa trên thuộc tính hậu lượng tử đã được chuẩn hóa và sẵn sàng cho môi trường sản xuất, vì vậy Cloudflare đã thiết kế lại hệ thống xoay quanh HPKE. Trong cấu trúc lai này, tính bí mật được kỳ vọng vẫn được bảo toàn ngay cả khi một trong hai cơ chế nền tảng bị phá vỡ trong tương lai.

Báo cáo cho biết dịch vụ sử dụng AES-256-GCM và HKDF-SHA-256 cho mã hóa đối xứng và dẫn xuất khóa. Báo cáo cũng mô tả một mô hình phân cấp được xây dựng xoay quanh khóa gốc khu vực 256-bit và các cặp khóa dịch vụ, nhằm giới hạn phạm vi ảnh hưởng trên các dịch vụ và các chu kỳ khu vực.

Về phía hạ tầng, Cloudflare được cho là tách biệt bản mã được phân phối toàn cầu khỏi vật liệu khóa khu vực cần thiết để giải bọc nó. Các khóa riêng của khách hàng đã được bọc được phân phối toàn cầu thông qua Quicksilver, kho khóa-giá trị phân tán của Cloudflare, trong khi các khóa gốc khu vực được cấp phát thông qua một dịch vụ control plane được bảo mật, dựa trên các cụm HashiCorp Vault tại chỗ.

Trước khi một máy chủ có thể nhận khóa gốc khu vực, báo cáo cho biết nó phải xác thực bằng TPM của mình, trong khi hệ thống kiểm kê Zinc của Cloudflare xác minh danh tính máy và vị trí trung tâm dữ liệu vật lý. Sau đó, các khóa gốc chỉ được nạp vào keyring nhân Linux dễ mất thay vì bộ nhớ lưu trữ bền vững, nên việc khởi động lại sẽ xóa chúng khỏi bộ nhớ.

Kiểm soát truy cập và lộ trình triển khai

Một điểm thiết kế đáng chú ý là mô hình thực thi. Theo báo cáo, Cloudflare sử dụng chính sách fail-closed nghiêm ngặt: nếu một máy chủ biên ở khu vực địa lý không được phép không có khóa gốc khu vực cần thiết, nó sẽ hủy yêu cầu thay vì cố gắng giải mã xuyên biên giới.

Bản beta kín ban đầu nhắm tới người dùng doanh nghiệp của các sản phẩm Cloudflare One Zero Trust, bao gồm Magic WAN, Tunnel và Gateway. Theo báo cáo, việc tích hợp đầy đủ với mạng phân phối nội dung của Cloudflare được lên kế hoạch hoàn tất trước khi phát hành rộng rãi vào quý 1 năm 2027.

Vì sao điều này quan trọng

Đối với bên mua là doanh nghiệp, thông báo này nằm tại giao điểm giữa quá trình chuyển đổi hậu lượng tử và tuân thủ yêu cầu lưu trú dữ liệu. Điểm then chốt không chỉ là sử dụng các thuật toán mới, mà còn là gắn quyền truy cập mật mã với vị trí địa lý vật lý và chứng thực phần cứng. Sự kết hợp đó có thể hấp dẫn các tổ chức đang phải tuân thủ các quy định khu vực nghiêm ngặt về xử lý lưu lượng được mã hóa và vật liệu khóa.

Điều cần theo dõi tiếp theo là liệu Cloudflare có mở rộng mức độ chi tiết theo khu vực vượt ra ngoài các lựa chọn hiện được ghi trong tài liệu hay không, và khách hàng sẽ chuyển từ Geo Key Manager hiện tại sang phiên bản hậu lượng tử nhanh đến mức nào khi thời điểm ra mắt năm 2027 đến gần.