Cloudflare、地域限定の鍵管理に耐量子暗号を導入へ、試験開始

Cloudflareは2026年10月23日、復号鍵を利用できる地域を制限する「PQ GeoKey Manager」のクローズドベータを開始しました。量子計算機による解読に備える耐量子暗号を取り入れた、Data Localization Suite(DLS)を支える鍵管理の仕組みです。一般提供は2027年第1四半期を予定しており、現時点では全利用者向けの提供ではありません。

鍵を使える地域を限定し、将来の解読に備える

Cloudflareによると、新機能は顧客の復号鍵を利用できる場所を指定地域内に制限します。暗号文を保存しておき、将来の量子計算機で解読する攻撃への対策となるとしています。

暗号方式には、ML-KEM-768とX25519を組み合わせるハイブリッド構成を採用します。地域ごとの基礎となる「地域ルート鍵」から、GatewayやTunnelなど、サービス別の鍵ペアを作り出す仕組みです。

暗号化した顧客の秘密鍵は世界のネットワークに配布します。一方、地域ルート鍵は別経路で管理し、その地域で認可されたエッジサーバーだけに配布するとしています。サーバーの認可には、ハードウェアを識別するTPMと、機器台帳に登録された所在地情報を使います。

日本での提供は発表には書かれていません。同社は大半の地域を選べるようにする方針ですが、製品ごとの制約があり得るとしています。日本を指定できるかどうかは、この発表だけでは判断できません。

鍵がなければ処理を拒否、通信の場所は別の管理

地域ルート鍵はディスクに永続保存せず、OSの中核であるカーネルのキーリングに読み込みます。サーバーを再起動すると鍵は消え、再認証と再取得が必要です。

必要な地域ルート鍵が欠けている、または不正な場合、鍵を扱うサービスは起動しません。また、要求に対応する地域ルート鍵がサーバーにない場合は、処理を拒否するとしています。

ただし、GeoKey Manager自体は、要求の転送先、トンネルの終端、通信を検査する場所を制御しません。「鍵を使える地域」と「通信を処理する場所」は、分けて確認する必要があります。鍵の地域制限を導入するだけで、通信経路や検査場所も同じ地域に限定されると判断しないことが重要です。

影響する会社・しない会社

• 影響する: DLSを利用し、復号鍵を使える地域の制限を検討している会社です。新しい鍵管理方式の検討に関わりますが、利用可能な契約プランや既存環境への適用条件は発表には書かれていません。
• 影響する: GatewayやTunnelを利用し、鍵管理の地域要件を確認している会社です。これらはサービス別の鍵ペアを作り出す仕組みの例として挙げられています。ただし、製品ごとの提供条件は確認が必要です。
• 影響しない: 要求の転送先、トンネル終端、通信検査の場所だけを変更したい会社にとって、それらを直接変更する機能ではありません。必要な制御は、鍵管理とは別に確認する必要があります。

情シスが今日やること

1. 自社の利用状況を整理する。 Cloudflareの契約情報と構成資料を確認し、DLS、Gateway、Tunnelの利用有無を一覧にします。発表には管理画面の操作経路が書かれていないため、設定項目の存在を前提に変更作業を始めないでください。
2. 地域要件を分けて確認する。 セキュリティ担当と法務・契約担当に、制限したい対象が「復号鍵の利用場所」なのか、「通信の転送先・終端・検査場所」なのかを確認します。試験参加や導入を決める前に、両者を分けて記録してください。
3. 提供条件をCloudflareの窓口に問い合わせる。 日本での利用可否、指定できる地域、対象製品・プラン、クローズドベータへの参加条件を確認します。2027年第1四半期の一般提供は予定として扱い、回答を得る前に社内の導入日を確定しないようにします。
4. 試験前に確認項目を決める。 運用担当へ、再起動後には地域ルート鍵の再認証・再取得が必要な設計であることを共有します。試験に参加する場合は、鍵を取得できないときの起動・処理の挙動と、自社サービスへの影響を確認項目に入れてください。