Cloudflare 发布后量子 GeoKey Manager，密钥只能在指定地区解密
Cloudflare Blog · rss · 2026-10-24
Cloudflare 推出支持数据本地化套件（DLS）的后量子地理限制密钥管理器 PQ GeoKey Manager（封闭测试，计划 2027 年 Q1 正式发布），确保客户解密密钥只能在指定地理区域内的 Cloudflare 服务器上解包。
背景与威胁模型
- 针对「先窃取后解密」（harvest now, decrypt later）攻击：攻击者可囤积密文等量子计算机成熟后破解
- 同时满足数据主权合规：数据只能在其地理区域内处理，须端到端加密保证只有区域内服务器能拿到明文
技术演进
- 2017 年首创 geo-fenced TLS 密钥；2022 年改用基于密文策略的属性加密（ABE）
- 因无生产级后量子 ABE 方案，新设计改用 ML-KEM-768 + X25519 混合保护的简化架构
- 密钥分层：区域根密钥（对称，绑定区域，永不离开本区域）→ 派生应用专属密钥对（按服务上下文/区域/epoch 区分）
安全机制
- 边缘密钥服务启动时校验所需区域根密钥，缺失则拒绝启动
- 单个请求若元数据指向本地不可用的区域根密钥则直接失败（fail closed），密钥跨区域解密在架构上不可能
- Quicksilver 只分发加密后的密钥，区域根密钥走独立的受控分发通道
「Infra」频道最新
- OpenAI 暂停 11 天后恢复前沿 RL 训练，称隔离加固已足够 — scaling01 · 2026-10-24
- Cloudflare 用自研 CPU profiler 让 Workers 可观测性开销降 50% — irvinebroque · 2026-10-24
- 英伟达 8 节点 DGX Spark 集群转正：900M 训练扩展效率达 97.4% — TheZachMueller · 2026-10-24
- Linus 爆料：一台 Vera Rubin 机架至少要烧约 700 万美元 — LinusEkenstam · 2026-10-24
- 单卡 RTX 6000 跑 DSF4.1 达 280 tok/s,社区追问如何冲上 500 — capetorch · 2026-10-24
- 多伦多 PS5 Pro 全面断货，内存涨价潮波及消费硬件 — Rasmic · 2026-10-24