新しいGeoKey Managerは、顧客の秘密鍵を包み、許された地域のCloudflareサーバだけが解けるようにする。Data Localization Suite向けのクローズドベータで、一般提供は2027年第1四半期を予定している。2017年の地理制限TLS鍵、2022年の属性ベース暗号に続く世代だ。実用的なポスト量子の属性ベース暗号がないため、地域ごとの対称ルート鍵と、サービスごとの鍵ペアに分けた。
Cloudflare Oneの経路では、HPKE（RFC 9180）でML-KEM-768とX25519を組み合わせ、HKDF-SHA-256とAES-256-GCMを使う。ポスト量子と古典を組み合わせ、少なくとも一方が安全なら機密を保つ構成だ。包んだ鍵はQuicksilverで世界へ配るが、256ビットの地域ルート鍵は別経路で、その地域のエッジにだけ届く。起動時に必要なルート鍵が無いエッジは起動せず、地域外の解除はリクエストを失敗させる。ルート鍵はディスクに置かず、カーネルのキーリングに載せる。サーバの所属はTPMのハードウェア識別と在庫システムZincで決める。
CDN証明書向けの従来のGeoKey Managerとは別で、今回の方式をCDNへ載せる作業はこれからだ。Cloudflare One向けの新しいRegional Servicesは数カ月後に発表される。今登録できるのは、CDNを地域化しているDLS顧客の試験意向だ。鍵を解ける地域はGeoKey Manager、トンネルの終端や検査の場所はRegional Servicesなので、ベータの対象製品を確認してから設計に入れる。