Cloudflare, 지역 제한 키 관리용 PQ GeoKey Manager 출시

Cloudflare가 Data Localization Suite의 일환으로 PQ GeoKey Manager를 클로즈드 베타로 출시했으며, 2027년 1분기에 정식 출시(GA) 예정임
하이브리드 ML-KEM-768 및 X25519 암호화를 활용해 복호화 키를 래핑하여, 승인된 지역 내 서버에서만 언래핑이 가능하도록 'harvest now, decrypt later' 공격을 방지함
지역 루트 키는 승인된 엣지 서버의 Linux 커널 키링에 저장되는 256비트 대칭 비밀키로, 지정된 지역을 벗어나지 않도록 보장함
지역 루트 키가 누락되거나 서버가 승인된 지역 밖에서 키 복호화를 시도할 경우 요청을 거부하는 fail-closed 설계 적용
애플리케이션 전용 키는 HPKE(RFC 9180)를 사용해 지역 루트 키에서 파생되며, HKDF-SHA-256과 AES-256-GCM을 통한 인증 암호화를 수행함
키 로테이션은 이전 에포크에 대한 제한된 접근을 유지하는 소프트 로테이션과, 새 에포크로 키를 재래핑하여 기존 접근을 제거하는 하드 로테이션을 모두 지원함
엣지 서버 인증은 Trusted Platform Module(TPM) 하드웨어 신원 및 Zinc 인벤토리 데이터를 기반으로 지역 멤버십과 키 접근 권한을 결정함

핵심 내용