Cloudflare推出後量子地理金鑰管理，限定私密金鑰使用地區

網路服務與資安業者Cloudflare公布地理金鑰管理服務PQ GeoKey Manager，加入後量子密碼學（PQC）防護，讓企業指定哪些地區的伺服器可以解密及使用私密金鑰。目前這項服務已進入封閉測試階段，預計2027年第一季正式推出。新架構將先應用於Cloudflare One相關服務。

Cloudflare既有的Geo Key Manager讓企業選擇TLS私密金鑰的使用地區，但目前尚無適合正式營運環境使用的後量子屬性式加密（Attribute-Based Encryption，ABE）方案，因此Cloudflare重新設計架構，改採對稱式區域根金鑰及伺服器授權機制，並針對Cloudflare One導入結合傳統密碼學與抗量子密碼演算法的混合式金鑰建立機制，降低未來量子電腦可能帶來的安全威脅。

新架構會先加密客戶私密金鑰，再配送至各地伺服器，但只有通過硬體身分、所在地及服務授權檢查的伺服器，才能取得解密所需的區域根金鑰。因此，即使加密後的私密金鑰已配送至其他地區，未獲授權的伺服器仍無法解密使用。

這項服務可協助企業因應資料所在地及金鑰管理要求，但不代表網路流量的傳輸路徑、TLS連線終止位置或解密後的資料處理，也會自動限制在指定地區。企業仍須搭配其他資料在地化設定，才能控管相關資料的處理地區。

PQ GeoKey Manager屬於Cloudflare資料在地化套件（Data Localization Suite）的一部分。Cloudflare也正開發相關整合功能，計畫將新的後量子金鑰管理機制導入既有的CDN地理金鑰管理服務。