Cloudflare lancia key manager post-quantistico geolocalizzato

Cloudflare ha aperto la beta chiusa di PQ GeoKey Manager, un gestore di chiavi con vincoli geografici che usa crittografia post‑quantistica, parte della Data Localization Suite¹.

Il servizio punta a un controllo semplice: le chiavi di decrittazione dei clienti restano utilizzabili solo nell’area scelta. Non altrove¹. L’obiettivo dichiarato è aiutare a rispettare i requisiti di localizzazione dei dati e, in parallelo, migrare i prodotti dell’azienda verso crittografia post‑quantistica¹.

Il vincolo geografico agisce nel momento d’uso della chiave. Ogni chiave viene avvolta in uno strato crittografico aggiuntivo. Solo i server collocati nell’area autorizzata possono rimuovere questo wrapping e impiegare la chiave. Server fuori area non possono farlo. Così l’accesso diventa fisico quanto logico: conta dove gira il servizio che prova a usare la chiave¹.

La roadmap è definita. La disponibilità generale è pianificata per il primo trimestre del 2027. L’attuale beta chiusa è presentata come tappa del percorso verso un portafoglio post‑quantistico¹.

Il contesto è quello di dati a lunga vita. Governi, istituti finanziari, sanità e difesa gestiscono informazioni che devono restare riservate per anni. Per questi casi l’uso della cifratura è spesso richiesto¹. Resta attuale lo scenario harvest now, decrypt later: un avversario può intercettare oggi traffico cifrato con algoritmi classici, conservarlo e decifrarlo in futuro con un computer quantistico. Adottare primitive post‑quantistiche mira a ridurre questo rischio¹.

Cloudflare inquadra PQ GeoKey Manager come elemento della propria offerta per la sovranità dei dati. La funzione è vincolare l’uso delle chiavi di decrittazione alla collocazione selezionata dal cliente. L’implementazione con wrapping punta a rendere la chiave utilizzabile solo dove è consentito, in base alla posizione dei server che la trattano¹.

L’azienda afferma di voler spostare tutti i prodotti verso crittografia post‑quantistica. PQ GeoKey Manager è descritto come un passo operativo di questa transizione, pensato per clienti che devono mantenere controllo sulle chiavi e sul luogo in cui possono essere usate¹.

La fonte non indica gli standard o gli algoritmi post‑quantistici adottati, né protocolli o formati di wrapping. Non riporta neppure una citazione diretta dell’azienda su scelte tecniche o tempi intermedi del rollout¹.

Restano quindi due punti aperti per i lettori tecnici: quali primitive e standard verranno impiegati e come si integreranno con politiche di sovranità già in produzione. La risposta, non presente nella fonte, dirà molto sulla portabilità tra fornitori e sull’interoperabilità con infrastrutture esistenti¹.