Cloudflare nâng cấp bảo mật dữ liệu với GeoKey Manager hỗ trợ hậu lượng tử

Cloudflare vừa chính thức ra mắt phiên bản closed beta của GeoKey Manager, một giải pháp quản lý khóa bị giới hạn về mặt địa lý, được thiết kế để hỗ trợ bộ công cụ Data Localization Suite (DLS). Đây là bước tiến quan trọng trong chiến lược chủ quyền dữ liệu của Cloudflare, đảm bảo rằng các khóa giải mã của khách hàng chỉ có thể được truy cập bởi các server nằm trong khu vực địa lý đã được ủy quyền.

Tại sao cần mật mã học hậu lượng tử?

Trong bối cảnh các tổ chức chính phủ, tài chính và y tế xử lý lượng dữ liệu nhạy cảm khổng lồ, việc bảo vệ thông tin trước các mối đe dọa tương lai là ưu tiên hàng đầu. Chiến lược tấn công “harvest now, decrypt later” (thu thập ngay, giải mã sau) cho phép kẻ tấn công lưu trữ dữ liệu mã hóa hiện tại để chờ đợi sự xuất hiện của máy tính lượng tử có khả năng bẻ khóa các thuật toán mã hóa công khai truyền thống.

Để chống lại mối đe dọa này, Cloudflare đã tích hợp cơ chế bảo mật lai sử dụng ML-KEM-768 (tiêu chuẩn của NIST) kết hợp với X25519. Cách tiếp cận này giúp bảo vệ dữ liệu mà vẫn duy trì được các ranh giới sử dụng khóa theo khu vực.

Cơ chế hoạt động của GeoKey Manager

GeoKey Manager mới không kiểm soát việc định tuyến lưu lượng truy cập, mà tập trung vào việc kiểm soát nơi khóa riêng tư (private key) của khách hàng được “mở khóa” (unwrapped). Hệ thống này tách biệt các khóa đã được mã hóa (wrapped) khỏi khóa gốc khu vực (regional root key).

• Phân phối khóa: Các khóa đã được mã hóa được phân phối toàn cầu qua hệ thống Quicksilver, nhưng chúng vô dụng nếu không có khóa gốc khu vực tương ứng.
• Xác thực server: Chỉ những server được xác thực thông qua Trusted Platform Module (TPM) và hệ thống quản lý kho server (Zinc) mới có quyền truy cập vào các khóa gốc khu vực.
• Cơ chế Fail-closed: Nếu một yêu cầu giải mã không khớp với cấu hình khu vực hoặc thiếu khóa gốc, hệ thống sẽ từ chối ngay lập tức thay vì cho phép giải mã ngoài phạm vi. Điều này đảm bảo tính toàn vẹn của dữ liệu theo quy định chủ quyền.

Thiết kế bảo mật và khả năng vận hành

Cloudflare sử dụng HPKE (Hybrid Public Key Encryption) theo chuẩn RFC 9180 để đảm bảo tính bảo mật. Việc quản lý khóa được thiết kế linh hoạt với hai hình thức xoay vòng khóa (rotation):

• Soft rotation: Cho phép sử dụng các khóa cũ trong một khoảng thời gian chuyển tiếp, giúp duy trì uptime cho dịch vụ của khách hàng.
• Hard rotation: Yêu cầu rewrap toàn bộ khóa cũ dưới một epoch mới, loại bỏ hoàn toàn quyền truy cập của các khóa cũ.

Hiện tại, GeoKey Manager đang trong giai đoạn closed beta và dự kiến sẽ được cung cấp rộng rãi (GA) vào quý 1 năm 2027. Đây là minh chứng cho nỗ lực của Cloudflare trong việc chuyển đổi toàn bộ sản phẩm sang mật mã học hậu lượng tử, đồng thời đáp ứng các yêu cầu khắt khe về vị trí lưu trữ và xử lý dữ liệu của khách hàng toàn cầu.

Nguồn tham khảo: Cloudflare Blog