Cloudflare 推出后量子 GeoKey Manager 测试版

新的 GeoKey Manager 结合了后量子和经典密码学，以应对未来的量子威胁，且不影响对加密密钥访问的区域限制。

Cloudflare 已推出了后量子 GeoKey Manager 的封闭测试版，为其 Data Localization Suite (DLS) 增加了地理限制的密钥管理。该服务旨在确保客户解密密钥只能由指定地理区域内的经授权 Cloudflare 服务器访问，从而支持具有数据主权和数据本地化要求的组织。计划于 2027 年第一季度正式发布。

该系统同时解决了数据驻留要求和来自量子计算的新兴威胁。在“先收集，后解密”攻击下，对手会收集加密数据并保留，直到足够强大的量子计算机能够破解保护该数据的密码学。对于其 Cloudflare One 的实现，新架构在混合密钥封装机制中将后量子 ML-KEM-768 算法与经典 X25519 算法相结合，在保持解密区域限制的同时，加强了对未来量子威胁的保护。

GeoKey Manager 将全球分布的加密客户密钥与仅分发给经授权服务器的区域根密钥分开。硬件支持的身份、服务器位置记录和访问控制决定了哪些服务器可以获取这些根密钥。当所需的密钥或区域授权不可用时，系统会拒绝请求，从而防止在批准区域之外进行解密。密钥轮换机制还允许更新加密密钥，同时帮助维持服务可用性。

Cloudflare 计划将新架构扩展到其 Cloudflare One 服务，并通过单独的集成扩展到其内容分发网络 (CDN)。此次发布是该公司向后量子密码学更广泛转型的一部分，也是其为受地理数据处理要求限制的客户加强技术保障努力的一部分。

为什么这很重要？

向 后量子密码学 的转型正成为一项治理挑战，因为组织必须考虑在量子计算机能够利用现有加密技术的前几年就可能出现的威胁。技术架构可以帮助使数据主权要求在实践中得以执行，通过对敏感信息解密地点的控制来补充法律义务。随着各组织重新评估其长期安全战略，验证加密操作的地理限制的能力可能会成为合规性和跨境数字服务中的一个重要考量因素。