Cloudflare、耐量子暗号対応の地理的制限付き鍵管理をベータ公開

Cloudflareは、データ主権を確保しつつ耐量子計算機（PQ）暗号に対応する鍵管理機能「PQ GeoKey Manager」のクローズドベータ版を開始した。現在はData Localization Suite（DLS）の顧客向けに提供されており、2027年第1四半期の一般提供開始を予定している。

本機能は、顧客の復号鍵を特定の地理的領域内でのみアクセス可能にするものだ。復号鍵をラップし、許可された地域のサーバーでのみ復号を許可することで、データ主権の要件に対応する。設定された鍵が不足する場合や、許可外の地域で復号を試みた際はリクエストを拒否する「Fail closed」設計を採用した。

技術面では、耐量子暗号への移行の一環として、NIST標準のML-KEM-768とX25519によるハイブリッド保護を採用している。これにより、暗号化データを保存しておき、将来的に量子計算機で解読する「Harvest now, decrypt later」攻撃への耐性を確保した。

鍵管理には、地域ごとの対称鍵である「リージョナルルートキー」と、サービスごとに派生する「アプリケーション固有の鍵ペア」を用いる。エッジサーバーがリージョナルルートキーを取得する際は、TPMによるハードウェア認証と、サーバー在庫管理システム「Zinc」による場所の特定を経て許可される。取得した鍵はディスクに保存せず、揮発性メモリであるカーネルキーリングにロードする仕組みだ。

今後はCloudflare OneおよびCDNへの統合を予定している。なお、具体的な価格体系や対応リージョンの詳細については現時点で公表されていない。

経営にとっての意味

経営者と開発者は、現時点では導入を見送るべきだ。本機能は2027年第1四半期の一般提供予定であり、価格や対応リージョンも未定のため、具体的なコスト試算や業務への組み込み計画が立てられないからだ。

導入の検討は、価格体系と対応リージョンが公開された段階で再開する。その際、自社のデータ主権要件と、現在利用中のクラウド基盤の鍵管理ポリシーとの整合性を確認する。特に、TPM認証やZincによる場所特定が、自社のセキュリティ監査基準を満たすか精査が必要だ。現時点では、耐量子暗号への移行準備として、自社の暗号化要件を整理する以上の動きは不要である。