Cloudflare leva criptografia pós-quântica ao Geo Key Manager, o gerenciamento de chaves por região

O PQ GeoKey Manager entrou em closed beta como peça do Data Localization Suite (DLS) da Cloudflare. A ideia é garantir que a chave de decriptação de um cliente só possa ser aberta por servidores da região escolhida. Cada chave é empacotada (wrapped) e só é desempacotada por servidores localizados na geografia permitida. A disponibilidade geral (GA) está prevista para o primeiro trimestre de 2027.

O desenho técnico separa duas coisas. Os private keys empacotados circulam globalmente via Quicksilver, o sistema de distribuição de configuração. Já a regional root key, um segredo simétrico de 256 bits ligado a uma região, segue por um serviço de provisionamento separado e só chega a servidores autorizados. A autorização combina TPM (identidade de hardware), o inventário Zinc (que mapeia servidor a data center e local) e o próprio serviço de provisionamento, que emite um token. As chaves ficam no kernel keyring, não em disco.

Da root key deriva-se um par de chaves específico por serviço (Tunnel, Gateway etc.), usando HPKE (RFC 9180) com KEM híbrido ML-KEM-768 e X25519, HKDF-SHA-256 e AES-256-GCM. Cada chave empacotada carrega metadados de contexto de serviço, fronteira regional e época (epoch). Se faltar uma root key ou ela vier malformada, o serviço não inicia. Requisições fora da região falham fechadas. A rotação pode ser suave (mantém um número limitado de épocas anteriores) ou rígida (reempacota as chaves e remove o acesso à época antiga). A Cloudflare diz que não há esquema ABE pós-quântico pronto para produção, por isso trocou o ABE de 2022 por um modelo mais simples.

Em 23 de outubro de 2026, o CEVIU noticiou "Cloudflare lança em closed beta gerenciador de chaves pós-quânticas com restrição geográfica", com o anúncio do PQ GeoKey Manager. O texto de agora detalha o funcionamento. Pelo histórico da própria fonte, o GeoKey Manager nasceu em 2017 com chaves TLS restritas a locais, e em 2022 passou a usar ABE.

Em 18 de março de 2026, o CEVIU publicou "Cloudflare Lança Regiões Personalizadas para Controle de Residência de Dados", sobre limites geográficos customizados. Em 25 de fevereiro de 2026, "Cloudflare One é a primeira SASE a oferecer criptografia pós-quântica moderna em toda a plataforma" tratou do ML-KEM nos pontos de entrada e saída. O gerenciador de chaves regional liga as duas frentes.

Para quem opera dados sujeitos a residência e soberania, a leitura é que o controle de região deixa de ser só roteamento e passa a ser criptográfico. Mesmo com o texto cifrado replicado pelo mundo, só a região certa abre a chave. Para equipes de governança, vale acompanhar o escopo real das regiões e as ressalvas por produto, que a Cloudflare admite existir, até o GA.