GeoKey Manager Pós-Quântico Como o Cloudflare Mantém Suas Chaves na Região

Por Que Pós-Quântico Encontra Soberania de Dados

Governos e instituições financeiras enfrentam uma ameaça dupla: computadores quânticos que eventualmente quebrarão a criptografia clássica, e regulamentações que exigem que os dados permaneçam dentro de fronteiras geográficas específicas. O ataque 'harvest now, decrypt later' (colher agora, descriptografar depois) significa que adversários podem armazenar dados criptografados hoje e descriptografá-los quando os computadores quânticos amadurecerem.

O novo GeoKey Manager Pós-Quântico da Cloudflare aborda ambos os desafios. Ele garante que as chaves de descriptografia sejam acessíveis apenas dentro de uma geografia escolhida, usando criptografia híbrida pós-quântica para se proteger contra ameaças quânticas. Este é um passo significativo em direção à migração completa pós-quântica em toda a stack da Cloudflare.

Fundação: Isso se baseia no GeoKey Manager de 2017 e na evolução de criptografia baseada em atributos (ABE) de 2022, agora simplificada para a era pós-quântica. Para uma análise mais profunda de como a distribuição de configuração em larga escala funciona, veja nossa análise do sidecar de configuração dinâmica do Airbnb.

Arquitetura Central: Ciphertext Global, Desembrulho Regional de Chaves

O sistema separa chaves privadas embrulhadas distribuídas globalmente da chave raiz regional necessária para desembrulhá-las. Aqui está o fluxo:

1. Serviço de Gerenciamento de Chaves deriva um par de chaves específico da aplicação a partir de uma chave raiz regional (segredo simétrico de 256 bits).
2. Embrulho: O componente público do par de chaves da aplicação embrulha a chave privada do cliente. O resultado é uma chave privada embrulhada com metadados (contexto de serviço, região, época).
3. Distribuição: Quicksilver (sistema global de configuração da Cloudflare) distribui chaves embrulhadas e metadados — mas NÃO as chaves raiz regionais.
4. Provisionamento: Chaves raiz regionais são entregues apenas a servidores de borda autorizados via um serviço de provisionamento separado (apoiado pelo Vault).
5. Desembrulho: Apenas servidores de borda na região correta possuem a chave raiz regional para desembrulhar e usar a chave privada.

Design Criptográfico

• Chaves raiz regionais: Segredos simétricos de 256 bits.
• Chaves específicas da aplicação: Pares de chaves HPKE derivados usando KEM híbrido ML-KEM-768 + X25519, HKDF-SHA-256 para derivação de chaves, AES-256-GCM para criptografia autenticada.
• Abordagem híbrida: Confidencialidade preservada desde que pelo menos um componente (clássico ou pós-quântico) permaneça seguro.

# Ilustração simplificada da hierarquia de chaves (conceitual, não é código real da Cloudflare)
from cryptography.hazmat.primitives.kdf.hkdf import HKDF
from cryptography.hazmat.primitives import hashes

# Chave raiz regional (simétrica, 256 bits)
regional_root_key = b'...'  # provisionada com segurança para servidores de borda

# Deriva par de chaves específico da aplicação (HPKE)
# Na prática, usa KEM híbrido ML-KEM-768 + X25519
application_key_pair = derive_hpke_keypair(regional_root_key, context=b'Tunnel-Germany-epoch1')

# Embrulha chave privada do cliente com componente público
wrapped_key = hpke_seal(application_key_pair.public_key, customer_private_key)

# Desembrulho só é possível onde a chave raiz regional está disponível
if edge_server.region == 'Germany':
    unwrapped_key = hpke_open(application_key_pair.private_key, wrapped_key)
else:
    raise PermissionError('Chave raiz regional não disponível')

Estratégia de Rotação

• Rotação suave: Nova época criada, época anterior mantida temporariamente para transição (como permitir cartão de crédito antigo para pagamentos recorrentes).
• Rotação rígida: Reembrulha todas as chaves afetadas sob nova época, época antiga removida imediatamente.

Relacionado: Para empresas gerenciando migrações de banco de dados em larga escala, nosso blueprint Oracle para PostgreSQL no Azure oferece orientação prática sobre como manter segurança e conformidade durante transições.

Tradeoffs de Segurança e Limitações

Design Fail-Closed

A Cloudflare intencionalmente falha fechada: se qualquer verificação falhar (contexto de serviço, região, época), a requisição é rejeitada em vez de arriscar desembrulho fora da região. Isso prioriza a soberania de dados sobre a disponibilidade — uma escolha crítica para indústrias regulamentadas.

Fronteira de Confiança

A fronteira de confiança inclui:

• Serviço de Gerenciamento de Chaves (deriva chaves específicas da aplicação)
• Serviço de Provisionamento (armazena e distribui chaves raiz regionais)
• Serviços de Chaves de Borda Autorizados (usam cópias autorizadas localmente)

O Quicksilver permanece fora desta fronteira porque lida apenas com chaves embrulhadas e metadados.

Complexidade Operacional

• Chaves raiz regionais são carregadas no keyring do kernel, não persistidas em disco. Reinicializações da máquina exigem re-autenticação e re-provisionamento.
• Mudanças de membresia regional (servidores entrando/saindo) exigem que a camada de provisionamento atualize o acesso várias vezes ao dia.
• Não existe esquema ABE pós-quântico pronto para produção hoje, daí o design mais simples.

Limitações Atuais

• Beta fechado: Disponibilidade geral planejada para Q1 2027.
• Integração com Cloudflare One: Novas capacidades para Serviços Regionais chegando em alguns meses.
• Integração com CDN: Workstream separado em andamento; detalhes de teste serão compartilhados depois.
• Caveats específicos de produto: Nem todas as regiões ou serviços podem estar disponíveis inicialmente.

Comparação: Evolução do GeoKey Manager

Conclusão: Um Blueprint para Soberania de Dados Pós-Quântica

O GeoKey Manager Pós-Quântico da Cloudflare representa uma abordagem pragmática para dois desafios convergentes: criptografia quântica-segura e localização de dados. Ao separar a distribuição global de ciphertext do desembrulho regional de chaves, e ao usar criptografia híbrida pós-quântica, a Cloudflare fornece fortes garantias técnicas sem sacrificar escala.

O design fail-closed e o provisionamento com hardware (TPM, inventário Zinc) estabelecem um padrão elevado de segurança. No entanto, o status de beta fechado e o cronograma de GA para 2027 significam que as empresas devem planejar com cuidado. Para organizações com necessidades imediatas de soberania de dados, as capacidades atuais do GeoKey Manager permanecem disponíveis.

Próximos passos para desenvolvedores:

• Se você é cliente DLS, registre intenção de testar o recurso.
• Revise sua estratégia de rotação de chaves para se preparar para modelos de rotação suave/rígida.
• Monitore os anúncios da Cloudflare para integração com Cloudflare One e CDN.

Leitura adicional: Explore como o Airbnb escalou a entrega de configuração dinâmica e como migrar Oracle para PostgreSQL no Azure para insights complementares de arquitetura empresarial.

Fonte: Cloudflare Blog