要約

  • Cloudflareは、旧Origin Post-Quantum Encryption APIへの要求ではゾーンの鍵合意動作が変わらないと説明している。
  • Automatic Key Exchangeを無効にしても、別途指定したアルゴリズムの制限は残る。
  • 確認できるのは文書上の仕様であり、顧客環境での障害や旧APIの切り替え日時ではない。

復旧手順に残った一行が、すでに何も変えなくなっているかもしれない。Cloudflareの現行ガイドによれば、旧オリジン耐量子暗号APIは利用可能なままだが、要求は設定に影響しない。インターフェースが存続することと、操作の効果が存続することは同じではない。

9月8日の発表で説明されたAutomatic Key Exchangeは、通常のリクエスト処理とは別にオリジンを調べ、TLSの最初の鍵共有値を選ぶ仕組みだ。サーバーが別の値を求めるHelloRetryRequestを減らす狙いがある。対象はCloudflareからオリジンへの接続であり、利用者のブラウザーからCloudflareへの接続ではない。

古い三つの値では読み取れない

APIリファレンスには廃止予定を示すDeprecatedの表示があり、preferred、supported、offの値と更新操作の説明が残っている。一方、運用ガイドは現在の動作を制御するものとして、自動鍵交換とCompliance requirementsを案内している。

この違いを、実測した障害と取り違えてはならない。本稿では顧客のゾーンに旧APIを実行していない。ガイドには廃止日が示されず、リファレンスの表示から削除期限も判断できない。9月8日は新機能の説明日であって、旧要求が無効になった日だと確認されたわけではない。

それでも、古い設定名だけを根拠に変更完了と判断することはできなくなった。要求を組み立てられることは、意図した動作を管理できる証拠にはならない。

自動化を止めても制限は残る

自動選択は、許された候補の中で優先順位を決める。合規要件の設定は、その候補自体を絞る。自動選択を無効にすると走査と並べ替えが止まり、指定済みの要件に応じた既定の順序になるが、要件は解除されない。

耐量子と従来方式を組み合わせたハイブリッド群だけを認める設定なら、自動化を止めても従来方式のみの群が再び許可されるわけではない。許可範囲を広げる決定は、最初に試す候補を選ぶ決定から切り離す必要がある。

また、対象は新規のTLS 1.3オリジン接続だ。再利用中の接続は含まれず、Cloudflare Tunnelも対象外となる。現在の優先順位はゾーン内で共有される。発表が触れるオリジン別やサブドメイン別の細分化は今後の方向であり、導入済みとは扱えない。必要な暗号実装をオリジンに備える仕事も、顧客側に残る。

高速化の裏側では、運用者が意思を伝える場所が変わっている。慣れたAPIが見えるだけでは、慣れた手順が有効だとは言えない。