Cloudflare testet quantensichere DNS-Signaturen

Wer im Browser eine Internetadresse aufruft, stößt damit eine Abfolge von Anfragen an, die den Domainnamen in eine numerische, für Computer erreichbare Adresse übersetzt. Diese Antworten lassen sich digital signieren, damit das Gerät Manipulationen auf dem Übertragungsweg erkennen kann. Seit dem 10. September prüft Cloudflares öffentlicher DNS-Resolver 1.1.1.1 auch einen neuen Signaturtyp, der künftigen Quantencomputern standhalten soll; eine Testdomain besteht die Prüfung bereits. Von diesem einzelnen erfolgreichen Abruf bis zu einem quantensicheren Internet bleibt allerdings eine Lücke, die kein Unternehmen allein schließen kann.

Das größere Wachssiegel

Bei einer mit DNSSEC geschützten Domain tragen die maßgeblichen DNS-Einträge kryptografische Signaturen. Ein Resolver verfolgt sie über eine Kette vertrauenswürdiger Schlüssel zurück und prüft so, ob der Eintrag von der zuständigen DNS-Instanz stammt und unterwegs unverändert geblieben ist. Das ähnelt einem Wachssiegel auf einer Postkarte: Es bestätigt die Herkunft, hindert aber niemanden daran, den Inhalt zu lesen. DNSSEC verschlüsselt weder die DNS-Anfrage noch die anschließende Verbindung zur Website.

Die derzeit verwendeten Signaturen beruhen auf klassischer Kryptografie und könnten theoretisch von einem hinreichend leistungsfähigen Quantencomputer gefälscht werden. ML-DSA-44, im August 2024 vom US-amerikanischen National Institute of Standards and Technology als FIPS 204 standardisiert, stützt sich dagegen auf mathematische Strukturen, die nach heutigem Kenntnisstand auch Quantenrechner nicht effizient brechen können. Die Internet Assigned Numbers Authority, kurz IANA, führt das Verfahren unter der Algorithmusnummer 18 im DNSSEC-Register. Cloudflare hat seinen Resolver nun in die Lage versetzt, diesen Algorithmus zu erkennen und zu prüfen, sofern eine Domain die erforderlichen Einträge veröffentlicht (Cloudflare).

Für die Nutzer von 1.1.1.1 ändert sich dadurch nichts. Domains mit herkömmlichen Algorithmen werden weiterhin wie bisher geprüft; der Resolver beherrscht lediglich ein zusätzliches kryptografisches Verfahren.

Zu groß für ein einzelnes Paket

Die eigentliche technische Schwierigkeit liegt in der Datenmenge. Eine ML-DSA-44-Signatur umfasst 2.420 Byte, hinzu kommt ein öffentlicher Schlüssel von 1.312 Byte (NIST FIPS 204, IETF-Entwurf). Das klassische DNS wurde für kleine Antworten entwickelt, die in ein einziges Netzwerkpaket passen. Schon eine quantenresistente Signatur überschreitet diese Größenordnung.

Bei einer zu großen Antwort muss die Anfrage über TCP wiederholt werden, jenes Übertragungsprotokoll, das auch beim Abruf von Webseiten zum Einsatz kommt. TCP transportiert große Datenmengen zuverlässig, benötigt dafür aber einen zusätzlichen Kommunikationsschritt. Cloudflares veröffentlichter Test mit der Domain valid.mldsa44.dnstest.dev absolvierte diese Abfolge in 20,7 Millisekunden (Cloudflare). Damit ist die technische Funktionsfähigkeit belegt, nicht jedoch die Leistungsfähigkeit im weltweiten Cloudflare-Netz: Es handelt sich um einen einzelnen Abruf an einem Standort. Angaben zu Latenzverteilungen, Fehlerquoten oder zusätzlichem Bandbreitenbedarf legte das Unternehmen nicht vor.

Die klassische Vertrauenskette darüber

Die DNSSEC-Vertrauenskette beginnt beim Schlüssel der DNS-Wurzel und führt über Top-Level-Domains wie .com, .de oder .fr bis zur einzelnen Website. Die Wurzelzone und die übergeordneten Ebenen verwenden derzeit weiterhin klassische Signaturverfahren. Auch Cloudflare führt die quantensichere Signierung seiner eigenen autoritativen DNS-Zonen sowie die Übermittlung von ML-DSA-Einträgen durch seinen Registrar lediglich als künftige Schritte auf, nicht als bereits verfügbare Funktionen (Cloudflare).

Das begrenzt den Sicherheitsgewinn, weil eine DNSSEC-Vertrauenskette eben nur so belastbar ist wie ihr schwächstes Glied. Könnte ein Angreifer mit einem Quantencomputer eine klassische Signatur auf einer höheren Ebene fälschen, ließe sich der Datenverkehr bereits umleiten, bevor die nachgelagerte quantensichere Prüfung überhaupt beginnt.

Cloudflare hat zumindest für einen Teil dieses Problems eine Regel gegen das Zurückstufen auf ältere Verfahren eingebaut. Schreibt eine übergeordnete Zone ML-DSA vor, verwirft 1.1.1.1 jede Antwort, die lediglich mit klassischer Kryptografie bestätigt wurde. Damit lässt sich verhindern, dass der neue Schutz unterhalb dieses Punktes unbemerkt entfernt wird (Cloudflare). Die Regel greift naturgemäß erst dort, wo die quantensichere Signierung in der Vertrauenskette tatsächlich einsetzt.

Auch die technische Spezifikation, die ML-DSA in die DNSSEC-Datensatzformate einbindet, liegt noch als aktiver Entwurf einer IETF-Arbeitsgruppe vor. Über das endgültige Betriebsformat wird also weiterhin verhandelt.

Anders als verschlüsselter Datenverkehr sind signierte DNS-Einträge öffentlich. Deshalb besteht hier kein Zeitdruck nach dem Muster „heute sammeln, später entschlüsseln“: Niemand kann heutige DNS-Antworten speichern und sie künftig mithilfe eines Quantencomputers nachträglich fälschen. Das Risiko entsteht erst durch eine Fälschung zum Zeitpunkt einer späteren Anfrage. Die Umstellung des DNS erfordert allerdings die Zusammenarbeit von Betreibern der Root-Zone, Vergabestellen, Registraren, autoritativen DNS-Servern und Resolver-Entwicklern. Hinzu kommt Netzwerktechnik, die an übergroßen Paketen oder blockierten TCP-Verbindungen scheitern könnte. Ein früher Beginn schafft daher Zeit, solche Schwachstellen zu erkennen, bevor sie sicherheitsrelevant werden.

Cloudflares Einführung könnte nun als Testumgebung unter realen Bedingungen dienen und zeigen, an welchen Stellen der Wechsel zu TCP fehlschlägt oder Netzwerkgeräte große Antworten verwerfen. Nachgewiesen ist bislang, dass ein produktiv eingesetzter öffentlicher Resolver eine mit ML-DSA signierte DNS-Antwort nach dem Rückgriff auf TCP prüfen kann. Offen bleibt, wie zuverlässig und schnell dieses Verfahren unter einer repräsentativen Netzlast arbeitet.