Cloudflare tester tunge kvantesikre DNS-signaturer

Når en browser slår en webadresse op, omsætter en kæde af forespørgsler adressen til et nummer, som computere kan dirigere trafikken efter. Svarene kan forsynes med digitale signaturer, så brugerens enhed kan kontrollere, at ingen har ændret dem undervejs. Den 10. september gjorde Cloudflare sin offentlige DNS-tjeneste, 1.1.1.1, i stand til at verificere en ny type signatur, som er udviklet til at modstå fremtidige kvantecomputere. Kontrollen virker allerede på et testdomæne. Men fra ét godkendt opslag til et kvantesikkert internet er der lang vej, og den kan ingen virksomhed tilbagelægge alene.

Voksseglet bliver større

På et domæne med DNSSEC er de relevante DNS-poster forsynet med kryptografiske signaturer. En DNS-tjeneste kan følge hver signatur gennem en kæde af betroede nøgler og dermed kontrollere, at posten kommer fra den rette DNS-myndighed og ikke er blevet ændret undervejs. Det svarer til et vokssegl på et postkort: Seglet bekræfter afsenderen, men alle kan stadig læse beskeden. DNSSEC krypterer hverken forespørgslen eller den efterfølgende forbindelse til hjemmesiden.

De nuværende signaturer bygger på klassisk kryptografi, som en tilstrækkelig stærk kvantecomputer i teorien vil kunne forfalske. ML-DSA-44 blev i august 2024 standardiseret af NIST som FIPS 204 og bygger på matematiske strukturer, som kvantecomputere ikke forventes at kunne bryde. IANA har tildelt metoden algoritmenummer 18 i DNSSEC-registret. Cloudflares ændring betyder, at 1.1.1.1 nu kan genkende og verificere algoritmen, når et domæne offentliggør de nødvendige poster (Cloudflare).

Brugerne af 1.1.1.1 skal ikke foretage sig noget. Domæner med de hidtidige algoritmer bliver fortsat kontrolleret som før. DNS-tjenesten har blot lært endnu et kryptografisk sprog.

For stort til én pakke

Den praktiske udfordring er størrelsen. En ML-DSA-44-signatur fylder 2.420 byte, og den tilhørende offentlige nøgle fylder yderligere 1.312 byte (NIST FIPS 204, IETF draft). Det klassiske DNS-system er indrettet til små svar, som kan rummes i én netværkspakke. Alene den kvantesikre signatur overskrider den størrelse, systemet normalt håndterer uden videre.

Når et svar bliver for stort, må forespørgslen gentages via TCP, som også bruges til at overføre websider. Protokollen håndterer store datamængder pålideligt, men kræver en ekstra tur frem og tilbage over nettet. I Cloudflares offentliggjorte test tog hele forløbet 20,7 millisekunder ved et opslag på valid.mldsa44.dnstest.dev (Cloudflare). Testen viser, at teknikken fungerer, men kun for ét opslag fra ét sted. Den siger ikke noget sikkert om ydelsen på Cloudflares globale netværk, og virksomheden har hverken offentliggjort fordelinger for svartider, fejlrater eller båndbreddeforbrug.

Den klassiske kæde ovenover

DNSSEC's tillidskæde begynder ved en rodnøgle og går gennem topdomæner som .com, .de og .fr, før den når den enkelte hjemmeside. I dag bruger både DNS-roden og leddene over de enkelte domæner fortsat klassiske signaturer. Cloudflare opfører selv kvantesikker signering af sine autoritative DNS-zoner og muligheden for, at virksomhedens registrator kan indsende ML-DSA-poster, som kommende skridt og ikke som funktioner, der allerede er tilgængelige (Cloudflare).

Det svækker den samlede beskyttelse, fordi DNSSEC ikke er stærkere end det mest sårbare led. En kvanteangriber, der kan forfalske en klassisk signatur højere oppe i kæden, vil kunne omdirigere trafikken, før kontrollen med kvantesikker kryptografi længere nede overhovedet begynder.

Cloudflare har indført en regel, som skal forhindre en del af denne nedgradering. Hvis en overordnet zone kræver ML-DSA, afviser 1.1.1.1 svar, der kun er godkendt med ældre kryptografi. Dermed kan en angriber ikke ubemærket fjerne den nye beskyttelse under dette punkt (Cloudflare). Reglen beskytter dog kun den del af kæden, der ligger under det sted, hvor den kvantesikre signering faktisk begynder.

Specifikationen, der fastlægger, hvordan ML-DSA skal indpasses i DNSSEC's postformater, er fortsat et aktivt udkast i en IETF-arbejdsgruppe. Det tekniske format er derfor endnu ikke endeligt aftalt.

Signerede DNS-poster er offentlige, i modsætning til krypteret trafik. Derfor er der ikke samme risiko for, at en angriber gemmer data nu og dekrypterer dem senere: Nutidens DNS-svar kan ikke oplagres og efterfølgende forfalskes med en fremtidig kvantecomputer. Risikoen opstår først, når en angriber forsøger at forfalske et svar. En omlægning af DNS kræver imidlertid koordinering mellem operatørerne af roden, domæneregistre, registratorer, autoritative servere, DNS-software og netværksudstyr, som kan få problemer med store pakker eller blokerede TCP-forbindelser. En tidlig start giver aktørerne mulighed for at finde fejlene, før truslen bliver reel.

Cloudflares løsning kan dermed blive en praktisk testplatform, som viser, hvor skiftet til TCP mislykkes, og hvor netværksudstyr afviser store svar. Virksomheden har dokumenteret, at en offentlig DNS-tjeneste i drift kan verificere et ML-DSA-signeret svar efter at være skiftet til TCP. Den har endnu ikke dokumenteret, hvor hurtigt og stabilt det fungerer under en belastning, der svarer til almindelig brug.