Cloudflare thử nghiệm quản lý khóa địa lý với mật mã hậu lượng tử
"Cloudflare launched a closed beta of a post-quantum geographically restricted key manager (GeoKey Manager) as part of their Data Localization Suite. This system ensures decryption keys are only accessible within a customer's chosen geographic region, mitigating 'harvest now, decrypt later' attacks. The solution uses hybrid ML-KEM-768 and X25519 cryptography and is planned for general availability in Q1 2027."
Việc triển khai mật mã hậu lượng tử giúp giảm thiểu rủi ro từ các cuộc tấn công 'harvest now, decrypt later', bảo vệ dữ liệu nhạy cảm trong dài hạn.
GeoKey Manager hỗ trợ các doanh nghiệp đáp ứng các yêu cầu về chủ quyền dữ liệu và tuân thủ quy định về bảo vệ dữ liệu cá nhân, đặc biệt quan trọng với các ngành như tài chính và y tế.
Cloudflare đang thử nghiệm bản beta kín GeoKey Manager, một hệ thống quản lý khóa địa lý hỗ trợ mật mã hậu lượng tử (post-quantum cryptography). Hệ thống này đảm bảo khóa giải mã chỉ có thể truy cập trong khu vực địa lý mà khách hàng chọn, giảm thiểu rủi ro tấn công 'thu thập ngay, giải mã sau' (harvest now, decrypt later).
Giải pháp sử dụng kết hợp ML-KEM-768 và X25519, với kế hoạch phát hành chính thức vào quý 1 năm 2027. Đây là một bước quan trọng trong việc hỗ trợ các mục tiêu về chủ quyền dữ liệu của khách hàng, đồng thời chuyển đổi tất cả các sản phẩm của Cloudflare sang mật mã hậu lượng tử.
Các tổ chức chính phủ, tài chính, y tế và quốc phòng xử lý dữ liệu nhạy cảm có thể cần bảo vệ trong nhiều năm. Mật mã khóa công khai truyền thống có thể bị tấn công bằng cách lưu trữ dữ liệu mã hóa và giải mã sau khi máy tính lượng tử đủ mạnh xuất hiện.
GeoKey Manager ban đầu ra mắt năm 2017, cho phép kiểm soát vị trí giải mã khóa TLS. Năm 2022, hệ thống được nâng cấp với ciphertext policy attribute based encryption (ABE), cho phép xác định yêu cầu địa lý bằng thuộc tính như quốc gia hoặc khu vực. Tuy nhiên, do chưa có lược đồ ABE hậu lượng tử sẵn sàng, Cloudflare hiện sử dụng thiết kế đơn giản hơn với khóa gốc khu vực đối xứng và khóa ứng dụng riêng cho từng dịch vụ như Gateway hoặc Tunnel. Hệ thống này bảo vệ tài liệu khóa riêng tư khỏi tấn công 'thu thập ngay, giải mã sau' đồng thời duy trì ranh giới sử dụng khóa theo khu vực.
GeoKey Manager kiểm soát việc giải mã khóa, không kiểm soát định tuyến lưu lượng hoặc vị trí kết thúc tunnel. Cloudflare đảm bảo khóa gốc khu vực không rời khỏi khu vực được chỉ định, ngăn chặn việc giải mã ngoài vùng.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc tích hợp mật mã hậu lượng tử vào GeoKey Manager là một động thái quan trọng cho các doanh nghiệp Việt Nam xử lý dữ liệu nhạy cảm. Các tổ chức tài chính hoặc y tế có thể cân nhắc thử nghiệm bản beta kín này để đánh giá khả năng bảo vệ dữ liệu trước các mối đe dọa lượng tử trong tương lai. Điều đáng chú ý là thời điểm phát hành chính thức vẫn còn khá xa (Q1 2027), vì vậy việc theo dõi các cập nhật từ Cloudflare là cần thiết.