Cloudflare 推出後量子 GeoKey Manager 封閉測試版

Cloudflare 啟動封閉測試

Cloudflare 已推出 GeoKey Manager 後量子版本的封閉測試；這項服務旨在限制客戶私人加密金鑰可進行解封包的位置。此次發布是該公司 Data Localization Suite 的一部分，旨在讓各組織能以技術手段控制金鑰的使用範圍，將其限制在指定的國家或區域內。

此封閉測試尚未全面開放。Cloudflare表示，現階段先從測試版開始，預計於 2027 年第一季在整個網路中全面開放。

區域金鑰邊界的運作方式

GeoKey Manager 將已封裝的客戶金鑰分散儲存於 Cloudflare 網路中，而解封包所需的區域根金鑰則採用另一套配置流程。Cloudflare 表示，邊緣伺服器必須先證明其硬體身分及區域成員資格，才能取得經授權位置的根金鑰。

該公司表示，根金鑰會載入 Linux 核心金鑰圈，而非持久儲存在磁碟上。如果缺少必要的區域根金鑰，或服務內容、區域或金鑰世代不相符，請求就會遭到拒絕。因此，此設計採取預設拒絕機制，而正確的配置對維持服務可用性仍十分重要。

混合式後量子加密

Cloudflare 表示，在 Cloudflare One 路徑中，該系統透過 Hybrid Public Key Encryption，將 ML-KEM-768 這項經 NIST 標準化的後量子演算法與傳統的 X25519 加密方案結合。金鑰衍生採用 HKDF-SHA-256，認證加密與應用程式專屬金鑰封裝則採用 AES-256-GCM。

相關報導將這項發布描述為早期存取的重要里程碑，而非 Cloudflare 各產品全面提供的部署選項。報導也指出，其預定用途是為 Gateway、Tunnel 和 Access 等服務提供區域金鑰控制；同時指出，所審閱的報導並未證實該服務已投入正式環境部署，或客戶已超出封閉測試階段進行採購。

預定全面上市

下一個可驗證的重要里程碑是全面上市，Cloudflare 計畫於 2027 年第一季推出。所審閱的報導未提供更精確的上線日期，也未證實該服務已進入全面上市階段。