شرکت کلودفلر (Cloudflare) از نسخه بتا (Beta) سیستم جدید مدیریت کلید خود با قابلیت محدودیت جغرافیایی و رمزنگاری پساکوانتوم (Post-Quantum Cryptography) رونمایی کرد. این ابزار که تحت عنوان PQ GeoKey Manager شناخته می‌شود، یکی از ارکان اصلی راهکارهای حاکمیت داده (Data Sovereignty) این شرکت است که تضمین می‌کند کلیدهای رمزگشایی مشتریان تنها در منطقه جغرافیایی انتخاب شده توسط آن‌ها قابل دسترسی باشد.
مقابله با استراتژی Harvest Now, Decrypt Later
با پیشرفت محاسبات کوانتومی، مهاجمان می‌توانند داده‌های رمزنگاری شده را در حال حاضر ذخیره کرده و در آینده، پس از دستیابی به کامپیوترهای کوانتومی قدرتمند، آن‌ها را رمزگشایی کنند؛ این استراتژی به عنوان Harvest Now, Decrypt Later شناخته می‌شود. برای مقابله با این تهدید، کلودفلر از یک رویکرد ترکیبی (Hybrid) شامل الگوریتم‌های ML-KEM-768 و X25519 استفاده می‌کند تا امنیت داده‌ها در برابر تهدیدات آینده تضمین شود.
معماری فنی و مکانیسم‌های امنیتی
سیستم GeoKey Manager با استفاده از یک سلسله مراتب پیچیده کلید، امنیت و قابلیت اطمینان را فراهم می‌کند:
- سلسله مراتب کلید: سیستم از یک کلید ریشه منطقه‌ای (Regional Root Key) به صورت متقارن استفاده می‌کند. از این کلید، جفت‌کلیدهای اختصاصی برای هر سرویس (مانند Tunnel یا Gateway) به صورت نامتقارن مشتق می‌شوند.
- احراز هویت سخت‌افزاری: برای اطمینان از هویت سرورها، از ماژول امنیتی TPM (Trusted Platform Module) استفاده می‌شود تا مشخص شود هر سرور واقعاً در کدام مرکز داده و منطقه قرار دارد.
- مدیریت در حافظه: کلیدهای ریشه منطقه‌ای پس از احراز هویت، مستقیماً در Kernel Keyring لینوکس بارگذاری می‌شوند و برای کاهش سطح حمله، هرگز روی دیسک ذخیره نمی‌گردند.
- طراحی Fail-Closed: این سیستم به گونه‌ای طراحی شده که در صورت بروز هرگونه خطا در بررسی متادیتا یا عدم تطابق منطقه جغرافیایی، درخواست به جای رمزگشایی در منطقه اشتباه، بلافاصله رد (Reject) می‌شود.
هدف‌گذاری و کاربرد
این راهکار به‌ویژه برای سازمان‌هایی که با داده‌های بسیار حساس سروکار دارند، مانند نهادهای دولتی، مؤسسات مالی و مراکز مراقبت‌های بهداشتی که ملزم به رعایت قوانین سخت‌گیرانه حاکمیت داده در مناطق جغرافیایی خاص هستند، طراحی شده است. کلودفلر برنامه‌ریزی کرده است که دسترسی عمومی (GA) به این سرویس را در سه ماهه اول سال ۲۰۲۷ فراهم کند.
