Cloudflare запускает геоограниченный менеджер ключей с постквантовой криптографией

Что произошло и что подтверждено

Компания Cloudflare запустила в ограниченном бета-тестировании новый сервис — PQ GeoKey Manager. Этот инструмент является ключевым элементом решений Cloudflare по обеспечению суверенитета данных. Он гарантирует, что ключи расшифровки доступны только в выбранной клиентом географии.

Сервис работает следующим образом: каждый ключ расшифровки «заворачивается» таким образом, что его можно расшифровать только на серверах Cloudflare, расположенных в разрешённой географии. Это позволяет организациям, имеющим географические требования к обработке данных, обеспечить их защиту от угроз, связанных с атаками типа «собрать сейчас, расшифровать позже».

Какую задачу решает технология

Технология PQ GeoKey Manager решает задачу обеспечения безопасности данных в условиях требований географической локализации и потенциальных угроз, связанных с развитием квантовых вычислений. Она позволяет организациям защитить свои данные от атак типа «собрать сейчас, расшифровать позже», когда злоумышленники могут сохранить зашифрованные данные и дождаться появления квантовых компьютеров, способных взломать используемую криптографию.

Для этого PQ GeoKey Manager применяет метод «заворачивания» ключей расшифровки, делая их доступными только на серверах Cloudflare, расположенных в заранее определённых географических зонах. Это обеспечивает соответствие требованиям регуляторов о локализации данных и защищает конфиденциальную информацию от несанкционированного доступа вне зависимости от глобальных изменений в области криптографии.

Основные технические детали

Основные технические детали работы PQ GeoKey Manager заключаются в использовании гибридной защиты ML-KEM-768 и X25519 с двумя видами ключей. ML-KEM-768 — это стандарт NIST, который обеспечивает возможность работы с данными высокой чувствительности. В системе используются региональный корневой ключ, привязанный к одной области, и пара ключей для конкретного приложения, производная от корневого ключа для одного сервиса, например, Gateway или Tunnel.

В новой форме GeoKey Manager контролирует, в каком регионе и когда можно использовать защищённые ключи расшифровки. Сервис обеспечивает логическую сегрегацию сети и ограничивает места, где могут быть развёрнуты частные ключи клиентов, используя постквантовую криптографию. Это позволяет поддерживать высокую производительность при обеспечении безопасности региональных данных клиентов в масштабе.

Как работает решение на практике

Решение PQ GeoKey Manager от Cloudflare на практике обеспечивает управление ключами с учётом географического расположения, что критически важно для соблюдения требований по локализации данных. Сервис гарантирует, что ключи расшифровки доступны только на серверах, находящихся в заранее определённых географических зонах, что защищает данные от потенциальных угроз, связанных с атаками типа «собрать сейчас, расшифровать позже».

Для обеспечения безопасности и доступности ключей используется гибридная защита ML-KEM-768 и X25519. Региональный корневой ключ, привязанный к определённой области, и пара ключей для конкретного приложения обеспечивают многоуровневую защиту данных. Это позволяет Cloudflare поддерживать высокую производительность и одновременно обеспечивать безопасность региональных данных клиентов в масштабе, соответствуя при этом строгим требованиям регуляторов о локализации данных.

Возможности для разработчиков

Разработчики, работающие с Cloudflare, получают доступ к передовым инструментам для управления ключами шифрования с учётом географического расположения. Это позволяет им создавать решения, соответствующие строгим требованиям по локализации данных и обеспечивающие высокий уровень защиты информации.

Использование гибридной защиты ML-KEM-768 и X25519 с двумя видами ключей открывает перед разработчиками новые возможности для работы с данными высокой чувствительности. Они могут разрабатывать приложения, которые эффективно используют региональный корневой ключ и пару ключей для конкретного сервиса, обеспечивая многоуровневую защиту и соответствие требованиям регуляторов.

Ограничения и открытые вопросы

Несмотря на значительные достижения в области защиты данных, система PQ GeoKey Manager сталкивается с определёнными ограничениями. На текущий момент не существует готового к использованию постквантового варианта шифрования с атрибутами на основе политики (ABE), что создаёт сложности при переходе на новые стандарты. Кроме того, для обеспечения безопасности данных в разных регионах требуется разработка и внедрение дополнительных механизмов защиты, что может усложнить управление ключами и снизить гибкость системы.

Также остаются открытыми вопросы, связанные с масштабируемостью и производительностью системы при работе с большим объёмом данных и множеством регионов. Необходимо обеспечить баланс между высокой доступностью сервисов и строгим соблюдением требований по локализации данных. Это требует от Cloudflare постоянного совершенствования алгоритмов шифрования и оптимизации процессов управления ключами, чтобы гарантировать безопасность и соответствие нормативным требованиям.

Значение для компаний и бизнеса

Введение Cloudflare PQ GeoKey Manager предоставляет компаниям и бизнесу надёжное решение для управления ключами шифрования с учётом географических ограничений. Это особенно важно для организаций, работающих с высокочувствительными данными, таких как государственные учреждения, финансовые институты, медицинские организации и оборонные предприятия. Система позволяет обеспечить соответствие строгим требованиям регуляторов о локализации данных и защитить информацию от потенциальных угроз, связанных с развитием квантовых вычислений.

Использование PQ GeoKey Manager даёт компаниям возможность контролировать, в каких регионах могут быть расшифрованы их данные. Это обеспечивает дополнительный уровень безопасности и позволяет организациям гибко настраивать параметры доступа к информации в зависимости от их бизнес-потребностей и нормативных требований. Кроме того, система способствует повышению доверия клиентов и партнёров, поскольку демонстрирует приверженность компании к защите конфиденциальности и соблюдению законодательства в области обработки данных.