A Cloudflare colocou em beta fechado uma versão pós-quântica do GeoKey Manager, peça central do seu pacote de localização de dados. O sistema garante que as chaves de descriptografia de um cliente só possam ser usadas por servidores localizados na região geográfica autorizada. A disponibilidade geral está prevista para o primeiro trimestre de 2027.
O alvo é o ataque conhecido como "colher agora, decifrar depois", em que o invasor guarda dados cifrados hoje para quebrá-los quando houver computadores quânticos capazes. Para governos, bancos, saúde e defesa, cujos dados continuam sensíveis por anos, o risco já existe. A nova versão combina o algoritmo ML-KEM-768, padronizado pelo NIST, com o clássico X25519, de modo que a proteção se mantém enquanto pelo menos um dos dois estiver seguro.
Na arquitetura, cada região tem uma chave raiz simétrica, da qual derivam pares de chaves específicos para cada serviço, como Gateway ou Tunnel. As chaves dos clientes, já embrulhadas, são distribuídas para toda a rede, mas a chave raiz só chega a servidores que provam, via chip TPM e inventário de hardware, que estão fisicamente naquela região. As chaves raiz ficam apenas na memória do kernel, e não em disco.
O desenho é deliberadamente restritivo: se qualquer verificação falhar, a requisição é recusada em vez de a chave ser aberta fora da região. Um pedido destinado à Alemanha, por exemplo, não pode ser processado por servidores na Espanha ou na França. A versão anterior, de 2022, usava criptografia baseada em atributos, mas ainda não existe um esquema pós-quântico desse tipo pronto para produção, o que levou a empresa a um modelo mais simples.
O lançamento faz parte do plano da Cloudflare de migrar todos os seus produtos para criptografia pós-quântica e atende a regras de soberania de dados que exigem processamento dentro de determinados países ou blocos.
Fonte: Cloudflare Blog