将后量子密码学引入地理围栏密钥管理
内容提要
Cloudflare推出后量子地理限制密钥管理器（PQ GeoKey Manager）封闭测试，确保客户解密密钥仅在指定地理区域可用。该系统采用ML-KEM-768与X25519混合加密，通过区域根密钥和应用专用密钥对实现密钥封装，防止“先存储、后解密”攻击。密钥仅在授权边缘服务器内存中加载，请求失败时默认拒绝，保障数据主权合规。正式版计划2027年第一季度发布。
延伸解读
后量子迁移的务实取舍
文章指出，目前没有生产就绪的后量子属性基加密（ABE）方案，且客户并不需要大量区域。因此Cloudflare放弃2022年的ABE设计，改用更简单的区域根密钥加应用专用密钥对。这种取舍降低了运维复杂度，也便于向后量子算法迁移，但代价是失去了ABE动态授权新服务器的灵活性，区域变更需依赖密钥分发流程。
密钥层级与风险边界
区域根密钥是256位对称密钥，应用专用密钥对由其派生。同一服务上下文、区域和epoch的密钥共享同一应用专用密钥对。这意味着若Tunnel-Germany的应用私钥泄露，可能影响该区域所有客户的Tunnel密钥，但不影响Gateway密钥；而区域根密钥泄露则影响该epoch下所有派生密钥。读者需理解这种共享风险边界。
失败关闭与可用性权衡
系统在启动时若缺少或格式错误的区域根密钥，边缘密钥服务将无法初始化；运行中若请求元数据指向本地不可用的区域根密钥，请求会被拒绝而非跨区解封。这种失败关闭设计以可用性换取数据主权保证，但可能因配置或密钥分发延迟导致区域服务中断，运维需关注密钥同步状态。
密钥轮换的两种模式
软轮换创建新epoch但保留有限旧epoch访问，允许旧包裹密钥在过渡期继续使用，类似信用卡公司允许旧卡用于定期扣款；硬轮换则重新包裹受影响客户的密钥并移除旧epoch访问。软轮换利于保持服务连续性，硬轮换更彻底但可能影响未及时更新的密钥，客户需根据业务容忍度选择。
Q&A
Cloudflare新推出的后量子地理围栏密钥管理器是什么？
Cloudflare推出的后量子地理限制密钥管理器（PQ GeoKey Manager）是数据本地化套件的一部分，目前处于封闭测试阶段。它确保客户的解密密钥仅在指定的地理区域可用，通过将每个解密密钥封装，使其只能由位于允许地理区域的Cloudflare服务器解密。
为什么需要后量子密码学来保护地理围栏密钥？
因为存在“先存储、后解密”的攻击威胁：攻击者可以现在存储密文，等量子计算机成熟后再破解公钥加密。对于政府、金融、医疗等敏感数据，这种风险尤其严重。后量子密码学能抵御此类攻击，确保长期数据安全。
GeoKey Manager如何确保密钥只在指定区域解密？
GeoKey Manager采用密钥分层设计：区域根密钥是绑定到特定区域的对称密钥，应用专用密钥对由区域根密钥派生。客户私钥被应用公钥封装后全球分发，但解封装需要对应的区域根密钥。区域根密钥仅通过独立通道分发给授权边缘服务器，并加载到内存中，从不落盘。请求时若元数据标识的区域根密钥在本地不可用，则默认拒绝（fail closed），防止跨区域解密。
GeoKey Manager使用了哪些具体的加密算法？
GeoKey Manager使用混合ML-KEM-768和X25519的HPKE（RFC 9180），其中ML-KEM-768是NIST标准化的后量子KEM。密钥派生使用HKDF-SHA-256，认证加密使用AES-256-GCM。区域根密钥为256位对称密钥，应用专用密钥对为非对称HPKE密钥对。
GeoKey Manager的密钥轮换机制是怎样的？
支持两种轮换：软轮换创建新的区域根密钥epoch，但保留对有限数量旧epoch的受控访问，允许旧封装密钥在过渡期继续使用，确保服务不中断；硬轮换则用新epoch重新封装受影响客户的私钥，并移除对旧epoch的访问，提供更严格的安全保证。
GeoKey Manager如何处理故障？是否可能意外在区域外解密？
GeoKey Manager采用“故障关闭”（fail closed）设计：如果任何检查失败（如服务上下文、区域、epoch不匹配），请求会被拒绝，绝不会在允许区域外解封装密钥。启动时，边缘密钥服务必须加载所有配置的区域根密钥，缺失或损坏则服务不启动。运行中，密钥仅存在于内存，重启后需重新认证和配置。
GeoKey Manager正式版何时发布？目前如何试用？
正式版（GA）计划于2027年第一季度发布。目前处于封闭测试阶段，当前DLS客户如果正在对CDN流量进行区域化，可以注册意向以在正式版前测试该功能。
