Cloudflare mở closed beta cho PQ GeoKey Manager, thành phần mới của Data Localization Suite. Mục tiêu: khóa giải mã của khách hàng chỉ được mở bởi server Cloudflare nằm trong khu vực địa lý đã chọn, đồng thời tăng khả năng chống kiểu tấn công “thu thập ciphertext hôm nay, giải mã khi máy tính lượng tử đủ mạnh”. GA dự kiến quý I/2027.
ML-KEM-768 và X25519.Data sovereignty không chỉ là nơi lưu dữ liệu. Hệ thống toàn cầu thường sao chép dữ liệu trên nhiều server để giữ độ sẵn sàng; nếu private key có thể được mở ở bất cứ đâu thì việc giới hạn vị trí dữ liệu mất ý nghĩa bảo mật quan trọng. PQ GeoKey Manager bọc từng khóa giải mã để chỉ Cloudflare server trong vùng được phép mới có thể mở khóa đó.
Thiết kế này nhắm tới các tổ chức có yêu cầu địa phương hóa dữ liệu như tài chính, y tế, chính phủ và quốc phòng. Nó cũng giảm rủi ro “harvest now, decrypt later”: đối thủ lưu ciphertext hiện tại để chờ năng lực lượng tử bẻ mật mã khóa công khai sau này.
Cloudflare không dùng một cơ chế post-quantum đơn lẻ. Hệ thống ghép ML-KEM-768, chuẩn NIST, với X25519. Cách làm hybrid giữ bí mật nếu ít nhất một trong hai thành phần vẫn an toàn; đây là đường chuyển tiếp thực tế khi triển khai mật mã hậu lượng tử ở production.
Mỗi vùng có regional root key đối xứng 256-bit. Từ root key này, hệ thống quản lý khóa của control plane dẫn xuất key pair riêng cho từng ứng dụng, ví dụ Gateway hoặc Tunnel. Luồng Cloudflare One dùng HPKE theo RFC 9180: KEM hybrid ML-KEM-768/X25519, HKDF-SHA-256 để dẫn xuất khóa và AES-256-GCM cho mã hóa có xác thực.
Cloudflare cho biết không dùng mô hình tách hoàn toàn các regional network. Thay vào đó, network vẫn phục vụ toàn cầu nhưng private key chỉ được unwrap trong ranh giới vùng đã chọn. Cách này giữ hiệu năng và availability của mạng toàn cầu, trong khi enforcement tập trung ở đường mở khóa — điểm kiểm soát quan trọng với dữ liệu đã mã hóa.
Đây không phải cam kết rằng toàn bộ dữ liệu hoặc mọi thao tác sản phẩm đều chỉ xuất hiện tại một vùng. Đội triển khai phải đọc điều kiện của từng sản phẩm, xác định data flow, backup, log, support access và cấu hình DLS thực tế trước khi đưa vào phạm vi tuân thủ.
Điểm đáng chú ý không phải chỉ là thêm ML-KEM-768. Cloudflare đưa yêu cầu geography vào nơi có giá trị nhất: thao tác mở private key. Điều này tạo mô hình khả dụng cho hạ tầng toàn cầu, nơi sao chép và failover là mặc định nhưng quyền giải mã phải bị ràng buộc chặt. Tuy nhiên, geographic key control chỉ là một lớp. Doanh nghiệp vẫn phải đối chiếu kiến trúc dữ liệu đầu-cuối và điều khoản của từng dịch vụ để biết hệ thống có thực sự đạt mục tiêu residency hay không. Với GA dự kiến quý I/2027, closed beta là thời điểm hợp lý để test operational model, thay vì chờ đến lúc yêu cầu hậu lượng tử và sovereignty thành bắt buộc.
Cloudflare, “Bringing post-quantum cryptography to geographically fenced key management”, 24/10/2026.
Bài viết này do AI tạo ra, biên soạn từ nguồn chính thức.
