भौगोलिक रूप से प्रतिबंधित कुंजी प्रबंधन में पोस्ट-क्वांटम क्रिप्टोग्राफी लाना

पोस्ट-क्वांटम जियोकी मैनेजर का परिचय

क्लाउडफ्लेयर अपने डेटा लोकलाइजेशन सूट (DLS) के समर्थन में क्लोज्ड बीटा में एक पोस्ट-क्वांटम भौगोलिक रूप से प्रतिबंधित कुंजी प्रबंधक लॉन्च कर रहा है। यह नया PQ जियोकी मैनेजर क्लाउडफ्लेयर के डेटा संप्रभुता समाधानों की आधारशिला के रूप में कार्य करता है, यह सुनिश्चित करता है कि ग्राहक की डिक्रिप्शन कुंजियां केवल उनकी चुनी हुई भौगोलिक स्थिति में ही सुलभ रहें। प्रत्येक डिक्रिप्शन कुंजी को रैप करके, जियोकी मैनेजर डिक्रिप्शन को विशेष रूप से अनुमत क्षेत्र में स्थित क्लाउडफ्लेयर सर्वर तक सीमित करता है। हालांकि सामान्य उपलब्धता (GA) की योजना Q1 2027 के लिए है, आज का लॉन्च सभी क्लाउडफ्लेयर उत्पादों को पोस्ट-क्वांटम (PQ) क्रिप्टोग्राफी में माइग्रेट करने की दिशा में एक महत्वपूर्ण मील का पत्थर है।

खतरा मॉडल और डेटा संप्रभुता चुनौतियां

सरकारें, वित्तीय संस्थान, स्वास्थ्य सेवा प्रदाता और रक्षा संगठन अत्यधिक संवेदनशील डेटा को संभालते हैं जो वर्षों या दशकों तक संवेदनशील रहता है। एन्क्रिप्शन इस जानकारी की रक्षा करता है, लेकिन जब क्लासिक पब्लिक-की एन्क्रिप्शन का उपयोग किया जाता है, तो विरोधी आज एन्क्रिप्टेड डेटा को संग्रहीत कर सकते हैं और बाद में इसे तोड़ने के लिए क्वांटम कंप्यूटरों का इंतजार कर सकते हैं - जिसे 'अभी एकत्र करें, बाद में डिक्रिप्ट करें' रणनीति के रूप में जाना जाता है। साथ ही, संगठनों को कड़े डेटा संप्रभुता नियमों का सामना करना पड़ता है जिनके लिए कुछ डेटा को केवल指定 भौगोलिक क्षेत्रों के भीतर संसाधित करने की आवश्यकता होती है।

क्रिप्टोग्राफिक डिज़ाइन और कुंजी पदानुक्रम

क्लाउडफ्लेयर क्षेत्रीय रूट कुंजियों और एप्लिकेशन-विशिष्ट कुंजी जोड़ों के साथ एक संकर ML-KEM-768 और X25519 सुरक्षा योजना का उपयोग करता है। ML-KEM-768 एक NIST मानक है जो क्षेत्रीय सीमाओं को बनाए रखते हुए निजी कुंजियों को हार्वेस्ट-नाउ-डिक्रिप्ट-लेटर हमलों से बचाता है। एक क्षेत्रीय रूट कुंजी एक विशिष्ट क्षेत्र से जुड़ी 256-बिट सममित गुप्त होती है, जबकि एक एप्लिकेशन-विशिष्ट कुंजी जोड़ी को गेटवे या टनल जैसी एकल सेवा के लिए व्युत्पन्न किया जाता है। प्रत्येक रैप की गई निजी कुंजी मेटाडेटा ले जाती है जो इसके सेवा संदर्भ, क्षेत्रीय सीमा और युग (epoch) की पहचान करती है।

सर्वर प्राधिकरण और फेल-क्लोज़्ड सुरक्षा

क्षेत्रीय रूट कुंजी प्राप्त करने से पहले, एक एज सर्वर को ट्रस्टेड प्लेटफ़ॉर्म मॉड्यूल (TPM) का उपयोग करके अपनी हार्डवेयर पहचान सत्यापित करनी होगी। क्लाउडफ्लेयर की सर्वर इन्वेंट्री प्रणाली, जिंक, इस पहचान को भौतिक स्थान पर मैप करती है, जो FIPS 140-3 अनुपालन का समर्थन करती है। अधिकृत सर्वर इन रूट कुंजियों को डिस्क पर सहेजने के बजाय लिनक्स कर्नेल कीरिंग में लोड करते हैं। जियोकी मैनेजर एक सख्त फेल-क्लोज़्ड डिज़ाइन पर काम करता है: यदि कोई भी जांच विफल हो जाती है, तो अनुरोध को अस्वीकार कर दिया जाता है।

भविष्य का एकीकरण और उपलब्धता

PQ जियोकी मैनेजर के लिए सामान्य उपलब्धता Q1 2027 में लक्षित है। वर्तमान वास्तुकला क्लाउडफ्लेयर वन के लिए एक बेहतर क्षेत्रीय सेवा प्रसाद की नींव के रूप में कार्य करती है, जिसकी नई क्षमताएं कुछ महीनों में घोषित होने वाली हैं। इसके अलावा, क्लाउडफ्लेयर इस पोस्ट-क्वांटम जियोकी मैनेजर को अपनी मौजूदा CDN क्षमता में लाने के लिए एक अलग एकीकरण विकसित कर रहा है जो CDN प्रमाणपत्रों से जुड़ी निजी कुंजियों के लिए भौगोलिक नियंत्रण प्रदान करता है।