مدیریت کلید پساکوانتومی Cloudflare با محدودیت جغرافیایی عرضه شد
به گزارش وبلاگ Cloudflare، این شرکت نسخه پساکوانتومی GeoKey Manager را برای محدودکردن دسترسی به کلیدهای رمزگشایی در مناطق جغرافیایی انتخابی، به‌صورت بتای بسته عرضه کرده است. این قابلیت برای سازمان‌هایی اهمیت دارد که هم‌زمان باید با تهدیدهای آینده رایانش کوانتومی مقابله کنند و الزامات حاکمیت داده را نیز رعایت کنند؛ عرضه عمومی آن برای سه‌ماهه نخست ۲۰۲۷ برنامه‌ریزی شده است.
ترکیب رمزنگاری پساکوانتومی و کنترل منطقه‌ای کلیدها
GeoKey Manager کلید خصوصی مشتری را به‌گونه‌ای بسته‌بندی می‌کند که بازکردن آن فقط روی سرورهای مجاز Cloudflare در منطقه تعیین‌شده ممکن باشد. در نتیجه، اگر درخواستی برای رمزگشایی در منطقه‌ای خارج از محدوده مجاز دریافت شود یا کلید منطقه‌ای لازم در دسترس نباشد، سامانه درخواست را رد می‌کند؛ به‌جای آنکه برای حفظ دسترس‌پذیری، کنترل جغرافیایی را کنار بگذارد.
طراحی جدید از سازوکار ترکیبی ML-KEM-768 و X25519 استفاده می‌کند. ML-KEM-768 استاندارد پساکوانتومی NIST است و قرارگرفتن آن در کنار X25519 باعث می‌شود محرمانگی تا زمانی حفظ شود که دست‌کم یکی از دو جزء امن باقی بماند. در مسیر Cloudflare One، مشتق‌سازی کلید با HKDF-SHA-256 و رمزنگاری احرازشده با AES-256-GCM انجام می‌شود.
این معماری میان کلیدهای خصوصی بسته‌بندی‌شده، که می‌توانند در شبکه جهانی توزیع شوند، و کلید ریشه منطقه‌ای جدایی ایجاد می‌کند. کلید ریشه یک راز متقارن ۲۵۶ بیتی است و فقط به سرورهای لبه مجاز همان منطقه تحویل داده می‌شود. از آن نیز برای هر سرویس، مانند Gateway یا Tunnel، یک جفت‌کلید اختصاصی مشتق می‌شود تا دامنه اثر افشای احتمالی محدودتر بماند.
چرا این تغییر برای زیرساخت سازمانی مهم است؟
هدف اصلی این طراحی مقابله با الگوی «اکنون جمع‌آوری کن، بعداً رمزگشایی کن» است؛ سناریویی که در آن مهاجم داده رمز‌شده امروز را ذخیره می‌کند تا در آینده با توان رایانش کوانتومی، رمزنگاری کلید عمومی آن را بشکند. این خطر برای نهادهای مالی، درمانی، دولتی و دفاعی که محرمانگی اطلاعاتشان باید سال‌ها حفظ شود، جدی‌تر است.
Cloudflare تأکید کرده که GeoKey Manager محل مسیریابی درخواست، پایان تونل یا بازرسی ترافیک را تعیین نمی‌کند و تمرکز آن بر محل بازشدن و استفاده از کلید خصوصی است. عضویت سرورها در هر منطقه چند بار در روز به‌روزرسانی می‌شود و تغییر آن نیازمند اقدام مشتری نیست. قابلیت تازه ابتدا مبنای نسخه بهبودیافته Regional Services برای Cloudflare One خواهد بود و ادغام جداگانه آن با کنترل کلید گواهی‌های CDN نیز در دست توسعه است.
در مجموع، این عرضه تلاشی برای جمع‌کردن سه نیاز دشوار در یک معماری واحد است: دسترس‌پذیری شبکه جهانی، اعمال مرز جغرافیایی بر رمزگشایی و آمادگی در برابر تهدیدهای پساکوانتومی.
