Cloudflare'ın PQ GeoKey Manager'ı, anahtar açmayı seçilen bölgelere kilitliyor (kapalı beta)

Cloudflare, PQ GeoKey Manager'ın kapalı betasını başlattı

Cloudflare, şirketin bloguna göre post-quantum, coğrafi olarak kısıtlı bir anahtar yöneticisini kapalı beta olarak yayınladı. PQ GeoKey Manager adlı ürün, Cloudflare'ın Data Localization Suite'ini destekliyor: her müşterinin şifre çözme anahtarı sarılarak, yalnızca müşterinin seçtiği coğrafyadaki sunucular bu anahtarı açabiliyor. Genel kullanıma sunulması 2027'nin ilk çeyreğinde planlanıyor.

Aynı anda iki sorun

Bu lansman iki ayrı baskıya yanıt veriyor. İlki "şimdi topla, sonra çöz" (harvest now, decrypt later) tehdidi: rakipler bugün şifreli trafiği kaydedip, kuantum bilgisayarlar bu trafiği koruyan klasik açık anahtarlı kriptografiyi kırabildiğinde çözebilir. Cloudflare, devlet kurumlarının, finans kuruluşlarının, sağlık hizmeti sağlayıcılarının ve savunma kuruluşlarının işlediği verilerin onlarca yıl boyunca hassas kalabileceğine, dolayısıyla bugün yakalanan şifreli metnin uzun vadeli bir risk oluşturduğuna dikkat çekiyor.

İkincisi ise veri egemenliği. Birçok ülkedeki düzenlemeler belirli verilerin yalnızca belli bir bölge içinde işlenmesini zorunlu kılarken, Cloudflare'ın yüksek erişilebilirlik modeli verileri küresel bir ağ üzerinde çoğaltmaya dayanıyor. Her iki gereksinimi karşılamak, veriyi uçtan uca şifrelemek — böylece yalnızca bölge içi sunucular düz metni görebilir — ve bunun doğal sonucu olarak TLS trafiğini çözmek için kullanılan özel anahtarların asla bölgeden çıkmamasını sağlamak anlamına geliyor.

Tasarım neden değişti

Cloudflare coğrafi kısıtlı TLS anahtarlarını 2017'de kullanıma sundu ve 2022'de şifreli metin politikalı öznitelik tabanlı şifrelemeye (ABE) geçti; kısıtlamaları "bölge = Avrupa Birliği" gibi özniteliklerle ifade ederek, yeni yetkili sunucuların her müşteri anahtarını yeniden sarmaya gerek kalmadan şifre çözme yeteneklerini almasını sağladı.

Bloga göre bugün üretime hazır bir post-quantum ABE şeması yok ve müşterilerin genellikle çok sayıda bölgeye ihtiyacı bulunmuyor. Cloudflare bu nedenle tasarımı sadeleştirdi: yeni GeoKey Manager, NIST post-quantum standardı olan ML-KEM-768 ile klasik X25519 eğrisini birleştiren hibrit bir koruma kullanıyor. Tasarımı iki anahtar türü taşıyor. Bölgesel kök anahtar, tek bir bölgeye bağlı simetrik bir sır; uygulamaya özgü anahtar çiftleri ise Gateway veya Tunnel gibi tek tek hizmetler için bu kök anahtardan türetiliyor.

Bölgesel zorunluluk nasıl uygulanıyor

Dağıtım bilinçli olarak ikiye ayrılmış durumda. Cloudflare'ın küresel yapılandırma dağıtım sistemi Quicksilver, sarılmış özel anahtarları ve üst verilerini ağa yayar ancak bölgesel kök anahtarları asla taşımaz. Bunlar, anahtarları yalnızca her bölge için yetkili edge sunucularına teslim eden ayrı bir provisioning servisi üzerinden yol alıyor.

Her sarılmış anahtar, hizmet bağlamını, bölgesel sınırını ve dönemini (epoch) — yani ait olduğu bölgesel kök anahtarın neslini — belirten üst veri taşıyor; her anahtar döndürmede yeni bir dönem oluşuyor.

Zorunluluk başarısızsa kapanıyor (fail closed). Başlatma sırasında her sunucudaki edge anahtar servisi, yapılandırmasının gerektirdiği tüm bölgesel kök anahtarların yüklü olduğunu kontrol ediyor; biri eksikse ya da bozuksa servis başlamıyor. İstek sırasında, bir isteğin üst verisi yerel olarak bulunmayan bir bölgesel kök anahtara atıfta bulunuyorsa Cloudflare, anahtarı bölge dışında açma riskine girmek yerine isteği reddediyor. Almanya için tasarlanmış bir istek bir şekilde İspanya veya Fransa'daki sunuculara ulaşsa başarısız olur; çünkü hiçbiri Almanya'nın bölgesel kök anahtarına sahip değil.

Anahtar hiyerarşisi ayrıca bir ihlalin etki alanını sınırlıyor. Aynı hizmet bağlamını, bölgeyi ve dönemi paylaşan anahtarlar bir uygulamaya özgü anahtar çiftini paylaşır; dolayısıyla Almanya'daki Tunnel anahtarının ele geçirilmesi birden çok müşterinin Tunnel anahtarlarını açığa çıkarabilir ama Gateway anahtarlarını çıkaramaz. Almanya bölgesel kök anahtarının ele geçirilmesi ise o dönemde ondan türetilen tüm uygulamaya özgü anahtarları etkilerdi.

Kapsam ve kullanıma sunulma

GeoKey Manager yalnızca korumalı anahtarların veri düzleminde nerede açılıp kullanılabileceğini denetliyor. İstek yönlendirme, tunnel sonlandırma ve trafik incelemesi Cloudflare'ın Regional Services'ı tarafından ayrıca yürütülüyor. Şirket, iş akışlarını bölgeselleştirmek isteyen müşterilere bölgelerinin çoğunun sunulacağını, ancak ürüne özgü uyarıların geçerli olabileceğini belirtiyor.

Neden önemli

Post-quantum geçişi ve veri yerelleştirme genellikle ayrı uyumluluk başlıkları olarak ele alınır; bu ürün ikisini bir araya getiriyor. Şifre çözmeyi belirli bir yargı alanı içinde tutmak zorunda olan kuruluşlar, kuantum saldırganlarının nihayetinde kırabileceği klasik anahtar sarmalamayı kabul etmek zorunda kalmıyor. Cloudflare'ın öznitelik tabanlı şifrelemeden vazgeçip daha basit bir hibrit tasarıma yönelme kararı, aynı kısıtlamayla karşılaşan diğer operatörlere de pragmatik bir sinyal: zarif bir ilkel bilginin post-quantum varyantını beklemek, daha az esnek bir tasarım gerçek gereksinimi karşılıyorsa buna değmeyebilir. Son olarak, fail-closed davranış, tek bir küresel anycast ağ üzerinde bölgesel sınırlandırmanın doğasında olan ödünleşimi gösteriyor — bir anahtarın sınırı aşmasına izin verilmeden önce bilinçli olarak erişilebilirlik feda ediliyor.