Eine neue, konfigurierbare und skalierbare Version des Geo Key Manager, jetzt als Closed Beta verfügbar

In der heutigen Zeit lässt sich Datenverkehr bei der Übertragung im Internet per Kryptographie mit öffentlichen und privaten Schlüsseln vor den Augen Unbefugter schützen. Cloudflare verwaltet die dafür erforderlichen Kryptoschlüssel und hilft so dabei, Millionen von Websites abzusichern. Um blitzschnell funktionierende Dienste bieten zu können, speichert Cloudflare diese Schlüssel in einem Rechenzentrumspark, der sich über mehr als 150 Länder erstreckt. Im manchen Fällen sind die Speicherorte privater Schlüssel jedoch gesetzlich auf bestimmte Weltregionen beschränkt.

Im Jahr 2017 haben wir den Geo Key Manager eingeführt. Dieser ermöglicht es Kunden, die Kryptoschlüssel für ihre Domains in verschiedenen Regionen zu speichern und zu verwalten, damit die Vorschriften eingehalten werden und die Daten dauerhaft abgesichert sind. Wir haben das Produkt einige Monate vor Inkrafttreten der Datenschutzgrundverordnung (DSGVO) auf den Markt gebracht und es für drei Regionen entwickelt: die USA, die Europäische Union (EU) und eine Reihe unserer „Hochsicherheits“-Rechenzentren. Seitdem haben sich DSGVO-ähnliche Gesetze schnell ausgebreitet und mittlerweile gelten in mehr als 15 Nicht-EU-Ländern vergleichbare Datenschutzgesetze oder -vorschriften, die Beschränkungen für den grenzüberschreitenden Datentransfer und/oder die Datenlokalisierung innerhalb bestimmter Grenzen beinhalten.

Bei Cloudflare möchten wir auf die Zukunft vorbereitet sein. Wir wollen unseren Kunden Werkzeuge an die Hand geben, mit denen sie die für sie geltenden rechtlichen Vorgaben in einem sich ständig wandelnden Umfeld einhalten können. Deshalb freuen wir uns, nun eine neue Version des Geo Key Manager ankündigen zu können. Diese ermöglicht es Kunden, Grenzen nach Land (z. B. „meine privaten Schlüssel sollen nur in Indien gespeichert werden“), nach Weltregion (z. B. „meine privaten Schlüssel sollen nur in der Europäischen Union gespeichert werden“) oder nach einem Standard (z. B. „meine privaten Schlüssel sollen nur in FIPS-konformen Rechenzentren gespeichert werden“) zu definieren. Für die Closed Beta-Version können Sie sich jetzt hier anmelden.

Den Geo Key Manager gibt es nun schon seit einigen Jahren. Wir haben diese Zeit genutzt, um Rückmeldungen von unseren Kunden zu sammeln. Die Nachfrage nach einem flexibleren System ist immer größer geworden. Deshalb haben wir uns entschlossen, eine neue Version des Geo Key Manager zu entwickeln, die den Bedürfnissen unserer Kunden besser gerecht wird.

Bei seiner Markteinführung wurde der Geo Key Manager für die USA, die EU und Rechenzentren mit den höchsten Sicherheitsstandards unterstützt. Das war seinerzeit ausreichend. Doch Kunden, die mit Datenlokalisierungsverpflichtungen in anderen Rechtsräumen zu kämpfen haben, benötigen mehr Flexibilität bei der Auswahl von Ländern und Regionen. Einige Kunden möchten ihre privaten Schlüssel nur in einem einzigen Land speichern. Andere wiederum wünschen sich, dass die Schlüssel generell überall gespeichert werden, mit Ausnahme bestimmter Länder. Wieder andere wollen die Regeln mischen („Die Schlüssel sollen in X und Y, aber nicht in Z gespeichert werden.“). Von unseren Kunden haben wir erfahren, dass sie Flexibilität benötigen, um mit den sich ständig ändernden Regeln und Richtlinien Schritt zu halten – diesen Wünschen wollten wir nachkommen.

Als Nächstes waren wir mit dem Problem der Skalierbarkeit konfrontiert.  Beim Aufbau der ersten Regionen haben wir eine fest programmierte Liste von Rechenzentren integriert, die unsere Kriterien für die Regionen „USA“, „EU“ und „‚Hochsicherheits‘-Rechenzentren“ erfüllten.  Diese Liste war aber statisch, weil die zugrundeliegende Kryptographie keine dynamischen Änderungen an unserer Rechenzentrumsliste unterstützte. Um private Schlüssel an neue Rechenzentren zu verteilen, die unsere Kriterien erfüllten, hätten wir das System komplett überarbeiten müssen. Hinzu kommt, dass sich unser Netzwerk jedes Jahr beträchtlich vergrößert, und zwar um mehr als 100 neuen Rechenzentren seit Markteinführung. Das bedeutet, dass alle neuen potenziellen Standorte, die für die Speicherung privater Schlüssel genutzt werden könnten, derzeit nicht im Einsatz sind. Das beeinträchtigt die Performance und Zuverlässigkeit für die Kunden, die diese Funktion nutzen.

Bei unserer derzeitigen Dimension sind Automatisierung und Erweiterung ein Muss. Unser neues System muss jedes Mal ohne menschliches Zutun oder umfangreiche Anpassungsmaßnahmen dynamisch skaliert werden, wenn wir ein Rechenzentrum in unser Netzwerk aufnehmen oder eines daraus entfernen.

Eine unserer wichtigsten Erkenntnisse war, dass Kunden Fehler machen – z. B., indem sie eine derart kleine Region definieren, dass die Verfügbarkeit zum Problem wird. Unsere Aufgabe besteht darin, Kunden von Änderungen abzuhalten, von denen wir wissen, dass sie negative Auswirkungen haben werden.

Cloudflare ist in den letzten Jahren stark gewachsen und damit auch unser internationaler Kundenstamm. Manche Kunden müssen dafür sorgen, dass ihr Traffic eine bestimmte Weltregion nicht verlässt. Diese Region kann so groß wie ein Kontinent sein – beispielsweise Asien. Es kann sich aber auch um ein bestimmtes Land handeln, etwa Japan.

Aus Gesprächen mit unseren Kunden wissen wir, dass sie in der Lage sein möchten, diese Regionen selbst zu bestimmen. Deshalb freuen wir uns, heute mitzuteilen, dass unsere Kunden mit dem Geo Key Manager sogenannte „Richtlinien“ erstellen können.

Eine Richtlinie kann ein einzelnes Land sein, das durch einen zweistelligen (ISO 3166) Ländercode definiert ist. Es kann sich jedoch auch um eine Weltregion handeln, z. B. „EU“ (für die Europäische Union) oder Ozeanien. Möglich ist aber auch eine Kombination aus beidem, z. B. „Land: USA oder Region: EU“.

Unser neuer richtlinienbasierter Geo Key Manager ermöglicht die Erstellung von Erlaubnis- oder Sperrlisten mit Ländern und unterstützten Regionen, wodurch Sie die Kontrolle über die Grenzen haben, in denen Ihre privaten Schlüssel gespeichert werden. Wenn Sie Ihre privaten Schlüssel weltweit speichern und dabei nur einige Länder aussparen möchten, ist das ebenfalls möglich.

Falls Sie Ihre privaten Schlüssel in der EU und den USA speichern möchten, führen Sie den folgenden API-Aufruf durch:

Nehmen wir nun an, dass Sie Ihre privaten Schlüssel in der EU, aber nicht in Frankreich speichern möchten. Dies können Sie wie folgt festlegen:

curl -X POST "https://api.cloudflare.com/client/v4/zones/zone_id/custom_certificates" \
     -H "X-Auth-Email: user@example.com" \
     -H "X-Auth-Key: auth-key" \
     -H "Content-Type: application/json" \
     --data '{"certificate":"certificate","private_key":"private_key","policy":"(country: US) or (region: EU)", "type": "sni_custom"}'

Der Geo Key Manager unterstützt jetzt mehr als 30 Länder und Weltregionen. Und das ist noch nicht alles. Das Besondere an unserer Geo Key Manager-Technologie ist, dass sie nicht geobasiert sein muss, sondern stattdessen attributbasiert ist. Zu gegebener Zeit werden wir eine Richtlinie einführen, mit der unsere Kunden auf Grundlage eines Compliance-Standards wie FedRAMP oder ISO 27001 definieren können, wo ihre privaten Schlüssel gespeichert werden.

curl -X POST "https://api.cloudflare.com/client/v4/zones/zone_id/custom_certificates" \
     -H "X-Auth-Email: user@example.com" \
     -H "X-Auth-Key: auth-key" \
     -H "Content-Type: application/json" \
     --data '{"certificate":"certificate","private_key":"private_key","policy": "region: EU and (not country: FR)", "type": "sni_custom"}'

Indem wir unseren Kunden die Fernsteuerung für Geo Key Manager ermöglichen, wollen wir sicherstellen, dass sie sich der Auswirkungen ihrer Änderungen auf Redundanz und Latenz bewusst sind.

Hinsichtlich der Redundanz besteht eine unserer größten Sorgen darin, dass die Kunden eine so kleine Region wählen, dass die Verfügbarkeit drastisch beeinträchtigt wird, wenn ein Rechenzentrum z. B. wegen Wartungsarbeiten ausfällt. Um das zu vermeiden, haben wir deshalb Redundanzbeschränkungen eingeführt. Diese verhindern, dass unsere Kunden Regionen mit zu wenigen Rechenzentren festlegen. Außerdem wird sichergestellt, dass alle Rechenzentren innerhalb einer Richtlinie hohe Verfügbarkeit und Redundanz bieten können.

Darüber hinaus haben wir in den letzten Jahren die dem Geo Key Manager zugrunde liegende Netzwerktechnologie erheblich optimiert. Um mehr darüber zu erfahren, wie wir dabei vorgegangen sind, halten Sie Ausschau nach eingehenden technischen Erläuterungen zum Geo Key Manager.

Unsere Erfahrungen mit den ursprünglichen Regionen (USA, EU und Hochsicherheitsrechenzentren) haben uns gezeigt, dass Kunden bei der Festlegung einer bestimmten Region für den Schlüsselmanager etwaige Auswirkungen auf die Latenz übersehen. Nehmen wir an, Ihre Schlüssel sind in den USA gespeichert. Für Ihre in Asien ansässigen Kunden wird bei den Anfragen, die um die Welt gehen, eine gewisse Latenz auftreten. Da die Kunden nun in der Lage sind, detailliertere Regionen zu definieren, wollen wir sicherstellen, dass sie die Auswirkungen dieser Änderung schon im Vorhinein erkennen.

Bei einer E-Commerce-Plattform steht die Performance immer an erster Stelle. Gerade arbeiten wir unter anderem an Performance-Kennzahlen für Geo Key Manager-Richtlinien, und zwar sowohl aus regionaler Sicht („Wie sind die Auswirkungen auf die Latenz für Kunden in Asien?“) als auch aus globaler Sicht („Wie wirkt sich diese Richtlinie im Durchschnitt für jeden auf der Welt aus?“).

Wenn die Folgen bezüglich der Latenz sichtbar und für Sie nicht akzeptabel sind, sollten Sie eine separate Domain für Ihren Dienst erstellen, die spezifisch für die von dem Service abgedeckte Region ist.

Möchten Sie die neueste Version des Geo Key Manager ausprobieren? Dann füllen Sie dieses Formular aus.

Der Geo Key Manager ist im Moment nur über API verfügbar. Wir arbeiten aber an der Entwicklung einer benutzerfreundlichen Oberfläche, damit Kunden ihre Richtlinien und Regionen mühelos verwalten können. Darüber hinaus werden wir Performance-Messungen und Warnungen veröffentlichen, wenn wir eine Beeinträchtigung der Leistung oder Redundanz feststellen. So wird sichergestellt, dass die Kunden bei der Richtlinienfestlegung wachsam sind.

Wir freuen uns auch, unseren Geo Key Manager über individuell hochgeladene Zertifikate hinaus zu erweitern. In Zukunft werden Zertifikate, die über den Advanced Certificate Manager oder SSL für SaaS ausgestellt wurden, richtlinienbasierte Einschränkungen für die Schlüsselspeicherung hinzufügen können.

Schließlich möchten wir die Zahl der Standardregionen erweitern, um unseren Kunden die Wahl zu erleichtern. Wenn es Regionen gibt, die wir Ihrer Meinung nach unterstützen sollten, oder Sie einfach allgemeines Anmerkungen oder Wünsche zu Funktionen in Bezug auf den Geo Key Manager haben, vermerken Sie dies bitte in dem Formular. Wir freuen uns immer, von unseren Kunden zu hören!