CiberseguridadConfirmadoEl nuevo GeoKey Manager de Cloudflare integra la criptografía post-quantum para asegurar datos sensibles, garantizando el cumplimiento de las leyes de soberanía de datos contra futuras amenazas de cálculo cuántica.
Fuente de imagen: CloudflareCloudflare ha lanzado su GeoKey Manager Post-Quantum, un nuevo servicio diseñado para proteger las claves de descifrado geográficamente valladas. El objetivo principal de este servicio es mitigar los ataques de "arvest now, decrypt later", una amenaza donde los datos cifrados con la actual criptografía clásica podrían ser interceptados, almacenados y posteriormente descifrados por futuros ordenadores cuánticos.
La implementación del Gestor GeoKey Post-Quantum incluyó un rediseño de la pila de criptografía existente de Cloudflare. Este rediseño integra algoritmos de criptografía posquantum estandarizados por NIST: específicamente, CRYSTALS-Kyber para mecanismos clave de encapsulación (KEMs) y CRYSTALS-Dilithium para firmas digitales.
Estos algoritmos PQC se implementan en un modo híbrido, operando simultáneamente con algoritmos criptográficos clásicos. Para los KEM, esto incluye ECDH y RSA, mientras que para las firmas digitales, ECDSA y RSA se utilizan junto con sus contrapartes PQC. Este enfoque híbrido tiene por objeto proporcionar una seguridad robusta contra las amenazas clásicas y cuánticas durante el período de transición criptográfica.
El Gestor GeoKey utiliza una arquitectura de generación clave distribuida y almacenamiento. Las claves de descifrado se almacenan en múltiples módulos de seguridad de hardware geográficamente distintos (HSMs). Las operaciones de desciframiento están diseñadas para exigir un quórum de estas normas geográficamente limitadas, asegurando que las claves permanezcan dentro de sus regiones designadas.
Este sistema está diseñado para asegurar que las claves de desciframiento de los datos almacenados en una región geográfica específica no abandonen esa región, abordando directamente los requisitos de soberanía de datos. Cloudflare afirma que los clientes que utilizan su suite de localización de datos, incluyendo servicios como Data Localization Suite y Keyless SSL, se beneficiarán automáticamente de esta actualización para sus claves administradas.
Se han puesto a disposición de los clientes nuevas API que les permiten gestionar sus propias claves protegidas por PQC dentro de límites geográficos específicos. Cloudflare informa que la sobrecarga de rendimiento asociada a los nuevos algoritmos PQC ha sido optimizada para ser insignificante para operaciones típicas. El Administrador GeoKey Post-Quantum ha sido lanzado globalmente en todos los centros de datos Cloudflare, con controles regionales configurables por el cliente.
La introducción de Cloudflare's Post-Quantum GeoKey Manager aborda una amenaza crítica de ciberseguridad a largo plazo: el potencial de las computadoras cuánticas para romper algoritmos criptográficos ampliamente utilizados. Los esquemas actuales de encriptación asimétrica, como RSA y Cryptografía de Curva Elíptica (ECC), dependen de problemas matemáticos que son computacionalmente intráctiles para computadoras clásicas, pero se espera que sean eficientemente solvables por ordenadores cuánticos suficientemente potentes utilizando algoritmos como Shor. El 'Arvest now, decrypt later' amenaza modelo posits que los adversarios pueden recopilar datos cifrados hoy, almacenarlo, y descifrarlo en el futuro una vez que las computadoras cuánticas estén disponibles. Al integrar PQC, Cloudflare está asegurando proactivamente datos contra este riesgo futuro.
The emphasis on 'geographically fenced' key management, combined with PQC, highlights a dual challenge in modern cloud infrastructure: future-proofing against quantum threats while adhering to strict data sovereignty and residency regulations. Laws such as the GDPR, and rulings like Schrems II, mandate that certain sensitive data, or the keys used to decrypt it, must remain within specific geographical borders. Cloudflare's approach directly tackles this by ensuring that even with the integration of advanced PQC, the physical and logical boundaries for key storage and operation are maintained. This provides a comprehensive solution for enterprises operating under stringent compliance requirements.
Cloudflare's decision to deploy PQC algorithms in a hybrid mode, combining CRYSTALS-Kyber and CRYSTALS-Dilithium with classical algorithms like ECDH/RSA and ECDSA/RSA, is a prudent engineering strategy during the transition period to quantum-resistant cryptography. This hybrid approach offers several advantages: it ensures backward compatibility with existing systems, provides a fallback mechanism in case unforeseen vulnerabilities are discovered in the nascent PQC algorithms, and maintains security against both classical and quantum-era adversaries. If one cryptographic component were to fail, the other would still offer protection, thereby increasing the overall resilience of the system.
La selección de CRYSTALS-Kyber y CRYSTALS-Dilithium se alinea con el proceso de estandarización de la Cryptografía Post-Quantum NIST, lo que indica un compromiso con las normas revisadas por la industria y revisadas por pares. Kyber, un KEM basado en celosía, está diseñado para un establecimiento clave eficiente, crucial para asegurar claves de sesión simétricas. Dilithium, también basado en la celosía, proporciona firmas digitales robustas para la autenticación y verificación de la integridad. Su integración en la pila de Cloudflare significa un paso práctico hacia la adopción de estos nuevos primitivos criptográficos en un entorno de producción.
El cambio arquitectónico a la generación clave distribuida y el desciframiento basado en quórum a través de módulos de seguridad de hardware geográficamente distintos (HSM) tiene implicaciones significativas para la seguridad y la resiliencia operacional. Al distribuir componentes clave y exigir un quórum para descifrar, el sistema mitiga el riesgo de un solo punto de compromiso. Un atacante tendría que comprometer múltiples HSM dispersos geográficamente para obtener acceso a una clave de desciframiento completo. Además, este enfoque distribuido y geovalorado refuerza la soberanía de los datos asegurando que las operaciones de desciframiento, y por lo tanto las claves mismas, sean procesadas siempre dentro de la región designada, incluso bajo un régimen PQC.
Para los clientes de Cloudflare, la actualización automática para aquellos que utilizan servicios de localización de datos simplifica la adopción de seguridad resistente al cuántico, reduciendo la carga de ingeniería para las organizaciones individuales. La provisión de nuevas API para gestionar las claves protegidas por PQC ofrece flexibilidad para los clientes con requisitos personalizados específicos o políticas de gestión clave avanzadas. La sobrecarga de rendimiento 'negligible' declarada es un factor crítico, ya que los algoritmos PQC pueden a veces ser más intensivos computacionalmente o producir artefactos criptográficos más grandes que sus contrapartes clásicas. Los esfuerzos de optimización de Cloudflare, potencialmente a través de aceleración de hardware especializada o implementaciones de software altamente optimizadas, son esenciales para mantener el rendimiento y escalabilidad de su red global al tiempo que aumenta la seguridad.