Cloudflare 推出后量子地理受限密钥管理器

2026/10/24 02:20

核心发布：Cloudflare 推出后量子地理受限密钥管理器 PQ GeoKey Manager，进入封闭测试，作为 Data Localization Suite 的组成部分；正式可用计划于 2027 年 Q1。
技术机制：采用 ML-KEM-768 与 X25519 混合保护；区域根密钥为绑定区域的 256 位对称秘密，并派生应用专属密钥对。客户私钥以密文形式全球分发，但解包必须取得对应区域的根密钥。
权限与分发：授权边缘服务器需通过 TPM 硬件身份、Zinc 资产映射与 provisioning service 校验后获取令牌，区域根密钥加载至 kernel keyring 而非落盘；区域成员变化时由 provisioning service 同步授权集合，客户无需操作。
关键取舍：系统按 fail-closed 设计，配置缺失、区域不匹配或根密钥不可用时直接拒绝请求，而非跨区域解包；支持 soft rotation 与 hard rotation 两类轮换。当前公开材料未披露延迟、吞吐与大规模规则下的性能数据，实际接入仍需按自身负载验证。
行业意义：这项更新把后量子迁移与数据驻留要求同时落到密钥管理层。对需要长期保密且受地理处理约束的政府、金融、医疗与国防数据，密钥可解包区域成为可审计的技术边界；对涉及跨境推理或敏感数据处理的 AI 服务，密钥解包位置也会成为合规设计中的一项基础设施参数。