Cloudflare lança em closed beta gerenciador de chaves pós-quânticas com restrição geográfica

O PQ GeoKey Manager entrou em closed beta com a general availability prevista para o primeiro trimestre de 2027. Ele controla onde chaves privadas encapsuladas podem ser desencapsuladas e usadas no plano de dados. Roteamento de requisições, término de túneis e inspeção de tráfego ficam com outras peças, como o Regional Services.

A arquitetura separa o que circula globalmente do que fica regional. O Quicksilver distribui pela rede as chaves privadas encapsuladas e seus metadados (contexto de serviço, fronteira regional e época). A regional root key, um segredo simétrico de 256 bits, segue um caminho separado, via serviço de provisionamento com Vault on-premises, e só chega a servidores autorizados para a região. A autorização combina TPM, o inventário Zinc e a decisão do provisionamento, que emite um token. As chaves ficam no kernel keyring, não em disco, e um reinício as apaga. O serviço falha fechado: se a chave regional não existe localmente, a requisição é rejeitada. No Cloudflare One, o desenho usa HPKE (RFC 9180) com KEM híbrido ML-KEM-768 e X25519, HKDF-SHA-256 e AES-256-GCM. A fonte descreve rotação suave (mantém um número limitado de épocas anteriores) e rotação dura (reencapsula as chaves para remover acesso à época antiga). Comprometer a chave privada específica de um serviço e região pode expor as chaves de clientes que compartilham aquele contexto, e comprometer a regional root key afeta tudo derivado dela na mesma época.

A cobertura anterior mostra a Cloudflare levando criptografia pós-quântica a várias camadas. Em 25 de fevereiro de 2026, o CEVIU noticiou "Cloudflare One é a primeira SASE a oferecer criptografia pós-quântica moderna em toda a plataforma", com ML-KEM híbrido. Em 1 de maio de 2026, veio "Criptografia Pós-Quântica para IPsec da Cloudflare com Disponibilidade Geral". Em 31 de julho de 2026, "Cloudflare Implementa Autenticação Pós-Quântica para Proteção de Origens", com assinaturas ML-DSA. Em 30 de setembro e 2 de outubro de 2026, vieram as matérias sobre a autoridade certificadora com Merkle Tree Certificates. O GeoKey Manager acrescenta a proteção das chaves de descriptografia com restrição de região, e o Cloudflare One aparece como um dos caminhos que o usam.

Para quem opera em setor regulado, com exigência de soberania de dados, a leitura é que o risco de harvest now, decrypt later passa a ser tratado junto com a localização das chaves, e não só do tráfego. Como o produto ainda está em closed beta, faz sentido avaliar o desenho, os limites de região e as ressalvas por produto antes de planejar adoção.