Bringing post-quantum cryptography to geographically fenced key management
Cloudflare presenta en beta cerrada una nueva versión de GeoKey Manager que combina ML-KEM-768 y X25519 para proteger claves privadas y limitar su descifrado a servidores de una región autorizada. Las claves raíz regionales se distribuyen por un canal separado, con autorización basada en la identidad de hardware y la ubicación del servidor; los controles fallan de forma cerrada si falta una clave o no coincide la región, el servicio o la época. El diseño también detalla la jerarquía de claves, las rotaciones y los compromisos operativos, y servirá de base para futuras integraciones con Cloudflare One y CDN.
Cloudflare's new post-quantum GeoKey Manager protects geographically fenced decryption keys from harvest now, decrypt later attacks. Learn how we redesigned our cryptography stack to support strict data sovereignty in a post-quantum world.