GeoKey Manager решает узкую, но юридически чувствительную задачу: держать приватные ключи TLS-сертификатов в определённой юрисдикции и не выпускать их за её пределы. Cloudflare пересобрала сервис с нуля и добавила к нему постквантовую защиту канала.
Схема гибридная: ML-KEM-768 вместе с классическим X25519. Смысл гибрида — не остаться без защиты, если одна из схем будет взломана; сегодняшний трафик можно записать и расшифровать позже, когда появится достаточно мощный квантовый компьютер, поэтому переход на постквантовые обмены идёт в инфраструктуре, где ключи живут годами.
Вторая особенность — где физически лежат ключи. Они находятся только в памяти ядра на серверах, прошедших проверку, и не попадают ни на диск, ни в пользовательское пространство. Проверка привязана к региону, и логика здесь жёсткая, fail-closed: если верификация не прошла, регион перестаёт выдавать ключи, а не работает «как-нибудь». Для доступности это риск — отказ способен уронить не одну зону, — но именно такой компромисс выбирают для ключевого материала.
Чего в релизе нет
По данным InfoQ, в бете не будет шифрования на основе атрибутов, то есть управления доступом к ключам через политики вроде «только эти сервисы в этом регионе». Функция появится позже или не появится вовсе.
Кому это важно
Тем, кто обязан держать ключи в нужной юрисдикции и обосновывать это регулятору. Пока сервис в закрытой бете, планировать переезд рано, но оценить, что даст fail-closed режим при отказе региона, стоит заранее.
GeoKey Manager solves a narrow but legally sensitive problem: keeping TLS private keys inside a given jurisdiction and never letting them leave it. Cloudflare rebuilt the service from scratch and added post-quantum protection for the channel.
The scheme is hybrid: ML-KEM-768 alongside classic X25519. The point of a hybrid is not to lose protection when one of the two is broken; today’s traffic can be recorded and decrypted later, once a sufficiently capable quantum computer exists, which is why post-quantum key exchange is moving into infrastructure where keys live for years.
The second feature is where the keys physically sit. They live only in kernel memory on servers that passed verification, never on disk and never in user space. Verification is tied to a region, and the logic is strict, fail-closed: if a check fails, the region stops serving keys rather than carrying on somehow. For availability that is a risk — a failure can take out more than one zone — but it is the trade-off chosen for key material.
What is missing
According to InfoQ, the beta ships without attribute-based encryption — the policy-driven control that would, for example, limit a key to specific services in a specific region. That may arrive later, or not at all.
Who should care
Teams obliged to keep keys in the country where they operate and to justify that to a regulator. With the service in closed beta, planning a migration is premature, but it is worth thinking through what fail-closed behaviour would do to you if a region went down.