Cibersegurança.Confirmado.O novo GeoKey Manager da Cloudflare integra criptografia pós-quantum para proteger dados sensíveis, garantindo o cumprimento das leis de soberania de dados contra futuras ameaças de computação quântica.
Fonte da imagem: CloudflareCloudflare lançou seu Gerente GeoKey Post-Quantum, um novo serviço projetado para proteger chaves de decodificação geograficamente cercadas. O principal objetivo deste serviço é mitigar ataques de colheita agora, descriptografar depois, uma ameaça onde dados criptografados com criptografia clássica atual podem ser interceptados, armazenados e posteriormente descriptografados por futuros computadores quânticos.
A implementação do Gerente GeoKey Post-Quantum envolveu um redesenho da pilha de criptografia existente do Cloudflare. Este redesenho integra algoritmos de criptografia pós-quantum padrão NIST (PQC): especificamente, CRYSTALS-Kyber para mecanismos de encapsulamento de chaves (KEMs) e CRYSTALS-Dilithium para assinaturas digitais.
Estes algoritmos PQC são implantados em modo híbrido, operando simultaneamente com algoritmos criptográficos clássicos. Para KEMs, isso inclui ECDH e RSA, enquanto para assinaturas digitais, ECDSA e RSA são usados ao lado de seus homólogos PQC. Esta abordagem híbrida é destinada a fornecer segurança robusta contra ameaças clássicas e quânticas durante o período de transição criptográfica.
O GeoKey Manager utiliza uma arquitetura distribuída de geração de chaves e armazenamento. Chaves de decodificação são armazenadas em vários módulos de segurança de hardware geograficamente distintos (HSMs). Operações de decodificação são projetadas para exigir um quórum desses HSMs geograficamente restritos, garantindo que as chaves permaneçam dentro de suas regiões designadas.
Este sistema é projetado para garantir que chaves de descriptografia para dados armazenados em uma região geográfica específica não saiam dessa região, abordando diretamente os requisitos de soberania de dados. Cloudflare afirma que os clientes que utilizam sua suíte de localização de dados, incluindo serviços como Data Localization Suite e Keyless SSL, se beneficiarão automaticamente desta atualização para suas chaves gerenciadas.
Novas APIs foram disponibilizadas aos clientes, permitindo que eles gerenciassem suas próprias chaves protegidas por PQC dentro de limites geográficos especificados. Cloudflare relata que a sobrecarga de desempenho associada aos novos algoritmos PQC foi otimizada para ser insignificante para operações típicas. O Gerente GeoKey Post-Quantum foi lançado globalmente em todos os centros de dados Cloudflare, com controles regionais configuráveis pelo cliente.
The introduction of Cloudflare's Post-Quantum GeoKey Manager addresses a critical, long-term cybersecurity threat: the potential for quantum computers to break widely used public-key cryptographic algorithms. Current asymmetric encryption schemes, such as RSA and Elliptic Curve Cryptography (ECC), rely on mathematical problems that are computationally intractable for classical computers but are expected to be efficiently solvable by sufficiently powerful quantum computers using algorithms like Shor's. The 'harvest now, decrypt later' threat model posits that adversaries can collect encrypted data today, store it, and decrypt it in the future once quantum computers become available. By integrating PQC, Cloudflare is proactively securing data against this future risk.
The emphasis on 'geographically fenced' key management, combined with PQC, highlights a dual challenge in modern cloud infrastructure: future-proofing against quantum threats while adhering to strict data sovereignty and residency regulations. Laws such as the GDPR, and rulings like Schrems II, mandate that certain sensitive data, or the keys used to decrypt it, must remain within specific geographical borders. Cloudflare's approach directly tackles this by ensuring that even with the integration of advanced PQC, the physical and logical boundaries for key storage and operation are maintained. This provides a comprehensive solution for enterprises operating under stringent compliance requirements.
Cloudflare's decision to deploy PQC algorithms in a hybrid mode, combining CRYSTALS-Kyber and CRYSTALS-Dilithium with classical algorithms like ECDH/RSA and ECDSA/RSA, is a prudent engineering strategy during the transition period to quantum-resistant cryptography. This hybrid approach offers several advantages: it ensures backward compatibility with existing systems, provides a fallback mechanism in case unforeseen vulnerabilities are discovered in the nascent PQC algorithms, and maintains security against both classical and quantum-era adversaries. If one cryptographic component were to fail, the other would still offer protection, thereby increasing the overall resilience of the system.
A seleção de CRYSTALS-Kyber e CRYSTALS-Dilithium se alinha com o processo de padronização de criptografia pós-quantum NIST, indicando um compromisso com padrões revisados pela indústria e pelos pares. Kyber, um KEM baseado em treliça, foi projetado para um estabelecimento de chaves eficiente, crucial para garantir chaves de sessão simétricas. Dilithium, também baseado em rede, fornece assinaturas digitais robustas para verificação de autenticação e integridade. Sua integração na pilha de Cloudflare significa um passo prático para adotar esses novos primitivos criptográficos em um ambiente de produção.
A mudança arquitetônica para a geração chave distribuída e descriptografia baseada em quórum em módulos de segurança de hardware geograficamente distintos (HSMs) tem implicações significativas para a segurança e resiliência operacional. Distribuindo componentes chave e exigindo quórum para decodificação, o sistema mitiga o risco de um único ponto de compromisso. Um atacante precisaria comprometer vários HSMs geograficamente dispersos para ter acesso a uma chave de decodificação completa. Além disso, essa abordagem distribuída e geo-reforça a soberania dos dados, garantindo que as operações de descriptografia, e assim as próprias chaves, sejam sempre processadas dentro da região designada, mesmo sob um regime PQC.
Para os clientes Cloudflare, a atualização automática para aqueles que usam serviços de localização de dados simplifica a adoção de segurança quantum-resistente, reduzindo a carga de engenharia em organizações individuais. O fornecimento de novas APIs para gerenciar chaves protegidas por PQC oferece flexibilidade para clientes com requisitos personalizados específicos ou políticas de gerenciamento de chaves avançadas. O desempenho "necessário" declarado é um fator crítico, pois algoritmos PQC podem às vezes ser mais intensivos computacionalmente ou produzir artefatos criptográficos maiores do que seus homólogos clássicos. Os esforços de otimização da Cloudflare, potencialmente através de aceleração de hardware especializada ou implementações de software altamente otimizadas, são essenciais para manter o desempenho e escalabilidade de sua rede global, enquanto aumentam a segurança.