Cloudflare lança gerenciador de chaves pós-quântico com cercas geográficas
Em beta fechado, o PQ Geo Key Manager restringe onde chaves de clientes podem ser usadas e adiciona proteção híbrida ML-KEM-768 e X25519; disponibilidade geral mira o 1º trimestre de 2027.
Foto: Nothing Ahead (Pexels)
A Cloudflare anunciou nesta sexta-feira (23) o lançamento, em beta fechado, de um gerenciador de chaves geograficamente restrito com proteção pós-quântica, ligado à Data Localization Suite (conjunto de localização de dados). A ferramenta, chamada PQ Geo Key Manager, busca garantir que chaves de descriptografia de clientes só possam ser usadas em servidores da empresa situados na geografia escolhida pelo cliente.
Segundo o blog da Cloudflare, a disponibilidade geral está prevista para o primeiro trimestre de 2027. O anúncio marca um passo na migração dos produtos da empresa para a criptografia pós-quântica — método projetado para resistir a ataques de computadores quânticos — e no reforço de soluções de soberania de dados.
O que aconteceu
O Geo Key Manager existe desde 2017, quando a Cloudflare passou a restringir onde chaves privadas de Transport Layer Security (segurança da camada de transporte, ou TLS) podiam ser “desembrulhadas” na rede anycast. Em 2022, o sistema evoluiu com criptografia baseada em atributos, permitindo regras como “região = União Europeia” sem reembrulhar cada chave a cada mudança de data center.
Na versão atual, a empresa afirma não haver esquema baseado em atributos pronto para produção com resistência pós-quântica. Por isso adotou proteção híbrida com ML-KEM-768 — padrão do National Institute of Standards and Technology (Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, ou NIST) — e X25519. Há uma chave raiz regional simétrica e pares de chaves por aplicação, derivados dessa raiz, para serviços como Gateway ou Tunnel.
Chaves privadas embrulhadas e metadados circulam pela rede global via Quicksilver, o sistema de distribuição de configuração. As chaves raiz regionais seguem outro caminho: um serviço de provisionamento as entrega só a servidores de borda autorizados, com checagem de identidade de hardware por Trusted Platform Module (módulo de plataforma confiável, ou TPM) e inventário Zinc. Se um pedido com chave da Alemanha tentasse ser descriptografado na Espanha ou na França, falharia — o sistema “fecha em falha” em vez de arriscar uso fora da área permitida.
No caminho Cloudflare One, o encapsulamento usa Hybrid Public Key Encryption (criptografia híbrida de chave pública, ou HPKE), conforme a RFC 9180: combina ML-KEM-768 com X25519, com derivação HKDF-SHA-256 e autenticação AES-256-GCM. A lógica híbrida preserva confidencialidade enquanto ao menos um componente permanecer seguro, mitigando a estratégia “colher agora, descriptografar depois”, em que adversários arquivam tráfego cifrado à espera de computadores quânticos.
O desenho prevê rotação suave (novo epoch com acesso controlado a gerações anteriores) e rotação dura (reembrulho sob epoch de substituição). Chaves raiz autorizadas ficam no keyring do kernel Linux, em memória volátil, e não persistem em disco — o que reduz superfície de ataque e exige reprovisionamento após reinício.
O que isso pode mudar
Para governos, instituições financeiras, saúde e defesa — setores citados pela Cloudflare como usuários de dados sensíveis por anos ou décadas — a combinação de fronteira geográfica técnica e criptografia pós-quântica pode reforçar o cumprimento de regras de soberania sem abrir mão da escala global da rede. Ainda assim, o próprio texto deixa claro que o Geo Key Manager controla onde chaves são desembrulhadas, não o roteamento nem a inspeção de tráfego, funções de Regional Services.
Em linha com o cronograma da empresa, a integração ampliada ao Cloudflare One deve ser detalhada em meses, e uma via separada levaria o mesmo modelo pós-quântico ao controle geográfico já usado em certificados de Content Delivery Network (rede de entrega de conteúdo, ou CDN). Clientes atuais da Data Localization Suite que regionalizam tráfego CDN podem registrar interesse em testes antes da disponibilidade geral nesse canal.
Se o beta fechado e a meta de disponibilidade no primeiro trimestre de 2027 se confirmarem na operação, o mercado de nuvem e segurança pode ver pressão competitiva para oferecer garantia técnica de localização de chaves já compatível com padrões NIST — e não apenas cláusulas contratuais de residência de dados.
Fontes: Cloudflare Blog
Leia mais em: www.mundodosnegocio.com.br