Cloudflare Workers adiciona suporte à criptografia pós-quântica no Web Crypto

A Cloudflare adicionou suporte opcional a primitivas criptográficas pós-quânticas à implementação do Web Crypto no Cloudflare Workers. Disponível sob uma nova flag de compatibilidade, a atualização permite que desenvolvedores e mantenedores de bibliotecas experimentem mecanismos de segurança pós-quântica diretamente no ambiente de execução, sem a necessidade de empacotar bibliotecas criptográficas externas em JavaScript ou WebAssembly.

Primitivas nativas para ML-KEM e ML-DSA

A atualização introduz os mecanismos de encapsulamento de chave ML-KEM-768 e ML-KEM-1024, além dos algoritmos de assinatura digital ML-DSA-44, ML-DSA-65 e ML-DSA-87. A Cloudflare omitiu o ML-KEM-512 porque a biblioteca BoringSSL subjacente, utilizada pelo ambiente de execução workerd do Workers, não o expõe.

Além das primitivas criptográficas principais, a Cloudflare implementou novos métodos auxiliares especificados no relatório de rascunho de Algoritmos Modernos para a Web Cryptography API. Essas adições incluem getPublicKey(), SubtleCrypto.supports(), encapsulateBits(), decapsulateBits(), encapsulateKey(), decapsulateKey() e capacidades de importação e exportação de JSON Web Key (JWK) para os algoritmos suportados.

Infraestrutura de execução e integração com o ecossistema

Construída sobre o BoringSSL dentro do runtime de código aberto workerd, a exposição nativa desses algoritmos permite que bibliotecas de nível mais alto, como implementações de JOSE e HPKE, deleguem operações pesadas de assinatura e encapsulamento ao próprio ambiente de execução. Essa abordagem reduz o tamanho do pacote da aplicação para cargas de trabalho na borda. No entanto, a Cloudflare ressaltou que o uso de algoritmos pós-quânticos aumenta o tamanho das chaves públicas, assinaturas e textos cifrados transmitidos pela rede ou mantidos no armazenamento em comparação com algoritmos tradicionais como RSA ou Ed25519.

Ativação e limitações

Os desenvolvedores podem ativar os recursos experimentais adicionando a flag de compatibilidade webcrypto_modern_algorithms ao seu arquivo de configuração do Wrangler. Outros recursos criptográficos descritos na proposta mais ampla do W3C Web Incubator Community Group — como SHA-3, ChaCha20-Poly1305, cSHAKE, TurboSHAKE e HPKE nativo — não estão incluídos neste lançamento e permanecem sujeitos a revisões futuras.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Support for modern cryptographic algorithms in Workers