Cloudflare TLS 키를 한국에 두면 트래픽도 한국에서 처리될까?

키의 위치만으로 데이터 처리 위치를 설명할 수는 없다

고객이 “우리 HTTPS 요청은 한국에서 처리되는가”라고 묻는다면 TLS 개인키를 한국에 두었다는 설명만으로는 답이 끝나지 않는다. Geo Key Manager는 개인키의 보관 위치를 제어한다. 요청을 어디로 전달하고 어느 지역에서 복호화·검사할지는 Regional Services의 역할이다.

접속 과정에서 생긴 로그에도 별도 설정이 있다. Customer Metadata Boundary(CMB)가 대상으로 삼는 Customer Logs에는 요청 URL·시각·방화벽 이벤트 같은 메타데이터가 포함된다. 키 위치, HTTPS 처리 위치, 로그 보관 위치를 하나의 ‘서버 위치’로 묶으면 서로 다른 요구를 놓치기 쉽다.

새 GeoKey 설계는 암호화한 키의 배포와 사용을 분리한다

Cloudflare는 10월 23일 양자내성 GeoKey Manager 설계를 공개했다. 암호화해 감싼 고객 개인키는 전 세계에 배포하되, 이를 풀 때 필요한 지역 루트 키는 허용된 지역의 서버에만 전달하는 구조다. 암호화된 묶음이 있다는 사실만으로 그 서버가 고객 키를 사용할 수 있는 것은 아니다.

발표에서 설명한 Cloudflare One 경로는 ML-KEM-768과 X25519를 결합해 키를 보호한다. 다만 Cloudflare One의 개선된 지역화 기능은 후속 발표 대상이고, 기존 CDN용 기능에 이 양자내성 설계를 연결하는 통합도 별도로 개발 중이다. 기존 지역 제한 기능을 사용할 수 있다는 사실과 새 암호화 설계가 CDN에 일반 제공됐다는 주장은 구분해야 한다.

가까운 해외 거점에 접속해도 복호화는 지정 지역에서 할 수 있다

Regional Services는 전 세계 Cloudflare 거점에서 트래픽을 받은 뒤, HTTPS를 복호화해야 하는 작업을 지정 지역으로 제한한다. 공식 문서의 EU 예시에서는 미국에서 들어온 요청도 암호화된 상태로 EU 거점에 전달한 다음 복호화한다.

처음 요청을 받은 거점은 내용 복호화가 필요 없는 네트워크·전송 계층의 DDoS 방어를 적용할 수 있다. 반면 복호화된 내용을 읽어야 하는 보안·성능 기능은 지정 지역 안에서 수행한다. 따라서 ‘한국에서 HTTPS를 처리한다’는 설명이 ‘패킷이 해외 거점을 전혀 지나지 않는다’는 뜻으로 바뀌어서는 안 된다.

한국 HTTPS 처리 지원이 한국 로그 보관까지 뜻하지는 않는다

2026년 10월 26일 기준 공식 지역 지원표는 세 기능을 별도 열로 보여 준다. 한국과 EU를 비교하면 차이가 드러난다.

한국의 키 지역 지원에는 Geo Key Manager v2라는 조건이 붙는다. 이 지원표의 v2 표시는 새 양자내성 CDN 통합의 출시 상태를 대신하지 않는다. 계정에서 사용할 수 있는 옵션과 해당 제품의 지원 조건도 함께 맞아야 한다.

CMB의 지역 설정은 Regional Services와 독립적이며, 문서상 선택 지역은 EU와 미국이다. 별도 경계를 설정하지 않으면 로그가 Cloudflare의 전 세계 코어 데이터센터에 저장될 수 있다. 한국을 HTTPS 처리 지역으로 선택했다는 이유만으로 한국 로그 보관을 고객에게 약속할 수 없는 이유다.

도입할 때는 요구사항을 세 문장으로 나누는 편이 정확하다. 개인키를 사용할 지역, HTTPS를 복호화·검사할 지역, Customer Logs를 보관할 지역을 각각 적고 해당 설정에 연결한다. 고객에게 제시할 처리 범위도 그 세 항목에 맞춰 설명해야 한다.

자주 묻는 질문