Η Cloudflare δοκιμάζει κβαντικά ασφαλές DNS

Όταν το πρόγραμμα περιήγησης αναζητά τη διεύθυνση ενός ιστοτόπου, μια αλυσίδα ερωτημάτων τη μετατρέπει στην αριθμητική διεύθυνση που χρειάζεται ο υπολογιστής για να δρομολογήσει την κίνηση. Οι απαντήσεις αυτές μπορούν να φέρουν ψηφιακή υπογραφή, ώστε η συσκευή να διαπιστώνει ότι δεν αλλοιώθηκαν κατά τη μεταφορά. Στις 10 Σεπτεμβρίου, η Cloudflare έδωσε στον δημόσιο επιλυτή της, το 1.1.1.1, τη δυνατότητα να επαληθεύει έναν νέο τύπο υπογραφής, σχεδιασμένο ώστε να αντέχει στις μελλοντικές επιθέσεις κβαντικών υπολογιστών. Ένας δοκιμαστικός τομέας περνά ήδη τον έλεγχο. Ωστόσο, από αυτή τη μεμονωμένη επιτυχή αναζήτηση έως ένα κβαντικά ασφαλές διαδίκτυο μεσολαβεί απόσταση που καμία εταιρεία δεν μπορεί να καλύψει μόνη της.

Η μεγαλύτερη σφραγίδα

Σε έναν τομέα που χρησιμοποιεί το DNSSEC, δηλαδή το σύστημα ψηφιακής πιστοποίησης των εγγραφών του DNS, οι σχετικές εγγραφές συνοδεύονται από κρυπτογραφικές υπογραφές. Ο επιλυτής μπορεί να ελέγξει κάθε υπογραφή ακολουθώντας μια αλυσίδα αξιόπιστων κλειδιών, ώστε να επιβεβαιώσει ότι η εγγραφή προέρχεται από την αρμόδια αρχή του DNS και δεν τροποποιήθηκε στη διαδρομή. Λειτουργεί περίπου σαν βουλοκέρι πάνω σε καρτ ποστάλ: πιστοποιεί τον αποστολέα, χωρίς να εμποδίζει κανέναν να διαβάσει το μήνυμα. Το DNSSEC δεν κρυπτογραφεί το ερώτημα ούτε προστατεύει την περιήγηση που ακολουθεί.

Οι σημερινές «σφραγίδες» βασίζονται στην κλασική κρυπτογραφία, την οποία ένας αρκετά ισχυρός κβαντικός υπολογιστής θα μπορούσε θεωρητικά να παραβιάσει και να πλαστογραφήσει. Το ML-DSA-44, το οποίο τυποποιήθηκε τον Αύγουστο του 2024 από το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας των ΗΠΑ ως FIPS 204, είναι ένα σύστημα υπογραφών βασισμένο σε μαθηματικές δομές που δεν θεωρείται ότι μπορούν να «σπάσουν» οι κβαντικές μηχανές. Η IANA το έχει καταχωρίσει με τον αριθμό αλγορίθμου 18 στο μητρώο του DNSSEC. Η Cloudflare δεν άλλαξε τον τρόπο με τον οποίο υπογράφονται οι τομείς· έδωσε στο 1.1.1.1 τη δυνατότητα να αναγνωρίζει και να επαληθεύει τον συγκεκριμένο αλγόριθμο, όταν ένας τομέας δημοσιεύει τις κατάλληλες εγγραφές (Cloudflare).

Οι χρήστες του 1.1.1.1 δεν χρειάστηκε να αλλάξουν τίποτε, ενώ οι τομείς που χρησιμοποιούν συμβατικούς αλγορίθμους εξακολουθούν να επικυρώνονται όπως πριν. Ο επιλυτής απλώς απέκτησε τη δυνατότητα να καταλαβαίνει μία ακόμη κρυπτογραφική «γλώσσα».

Πολύ μεγάλο για ένα πακέτο

Η ουσία της τεχνικής πρόκλησης βρίσκεται στο μέγεθος. Μια υπογραφή ML-DSA-44 καταλαμβάνει 2.420 byte, ενώ το δημόσιο κλειδί προσθέτει άλλα 1.312 byte (NIST FIPS 204, προσχέδιο της IETF). Το κλασικό DNS σχεδιάστηκε για μικρές απαντήσεις που χωρούν σε ένα μόνο πακέτο δικτύου. Εδώ, η κβαντικά ασφαλής υπογραφή υπερβαίνει από μόνη της αυτό το πρακτικό όριο.

Όταν η απάντηση είναι υπερβολικά μεγάλη, το αίτημα επαναλαμβάνεται μέσω TCP, του ίδιου πρωτοκόλλου που χρησιμοποιεί το πρόγραμμα περιήγησης για τις ιστοσελίδες. Το TCP μεταφέρει μεγάλα φορτία με αξιοπιστία, αλλά απαιτεί έναν πρόσθετο κύκλο επικοινωνίας. Στη δοκιμή που δημοσίευσε η Cloudflare, το ερώτημα προς το valid.mldsa44.dnstest.dev ολοκληρώθηκε με αυτή τη διαδικασία σε 20,7 χιλιοστά του δευτερολέπτου (Cloudflare). Το αποτέλεσμα αποδεικνύει ότι η τεχνική διαδρομή λειτουργεί, όχι όμως και ότι αποδίδει το ίδιο σε παγκόσμια κλίμακα: πρόκειται για ένα παράδειγμα από μία τοποθεσία, ενώ η εταιρεία δεν δημοσίευσε κατανομές καθυστέρησης, ποσοστά αποτυχίας ή στοιχεία κατανάλωσης εύρους ζώνης.

Η κλασική αλυσίδα παραμένει από πάνω

Η αλυσίδα εμπιστοσύνης του DNSSEC αρχίζει από ένα κλειδί στη ρίζα του συστήματος και περνά από τους τομείς ανώτατου επιπέδου, όπως τα .com, .de και .fr, προτού φθάσει σε έναν συγκεκριμένο ιστότοπο. Προς το παρόν, τόσο η ρίζα του DNS όσο και τα ενδιάμεσα επίπεδα εξακολουθούν να υπογράφουν με κλασικούς αλγορίθμους. Η ίδια η Cloudflare αναφέρει ως επόμενα βήματα, και όχι ως σημερινές δυνατότητες, την υπογραφή των δικών της έγκυρων ζωνών DNS και την υποστήριξη από την υπηρεσία καταχώρισης τομέων που διαθέτει για την υποβολή εγγραφών ML-DSA (Cloudflare).

Η αδυναμία αυτή είναι ουσιώδης, επειδή η ασφάλεια του DNSSEC καθορίζεται από τον ασθενέστερο κρίκο της αλυσίδας. Αν ένας κβαντικός επιτιθέμενος μπορούσε να πλαστογραφήσει μια κλασική υπογραφή σε ανώτερο επίπεδο, θα είχε τη δυνατότητα να ανακατευθύνει την κίνηση προτού καν αρχίσει ο μετακβαντικός έλεγχος χαμηλότερα στην αλυσίδα.

Για να περιορίσει ένα μέρος του κινδύνου, η Cloudflare έχει ενσωματώσει κανόνα που εμποδίζει την υποβάθμιση της προστασίας. Αν μια γονική ζώνη δηλώσει ότι απαιτείται το ML-DSA, το 1.1.1.1 θα απορρίψει οποιαδήποτε απάντηση έχει επικυρωθεί μόνο με παλαιότερη κρυπτογραφία. Έτσι αποτρέπεται η αθόρυβη αφαίρεση της νέας προστασίας κάτω από εκείνο το σημείο (Cloudflare). Ο κανόνας, βέβαια, καλύπτει μόνο το τμήμα της αλυσίδας που βρίσκεται μετά το επίπεδο στο οποίο αρχίζει πράγματι η μετακβαντική υπογραφή.

Η προδιαγραφή που εντάσσει το ML-DSA στις μορφές εγγραφών του DNSSEC παραμένει ενεργό προσχέδιο ομάδας εργασίας της IETF, επομένως ο τρόπος εφαρμογής της εξακολουθεί να βρίσκεται υπό διαπραγμάτευση.

Σε αντίθεση με την κρυπτογραφημένη κίνηση, οι υπογεγραμμένες εγγραφές του DNS είναι δημόσιες και δεν δημιουργούν τον κίνδυνο «συλλέγω τώρα, αποκρυπτογραφώ αργότερα»: κανείς δεν μπορεί να αποθηκεύσει τις σημερινές απαντήσεις του DNS και να τις πλαστογραφήσει στο μέλλον με έναν κβαντικό υπολογιστή. Ο κίνδυνος αφορά την πλαστογράφηση τη στιγμή που θα επιχειρηθεί. Η μετάβαση του DNS, όμως, απαιτεί συντονισμό ανάμεσα στους διαχειριστές της ρίζας, τα μητρώα και τους καταχωριστές τομέων, τους έγκυρους εξυπηρετητές, το λογισμικό επίλυσης και τον δικτυακό εξοπλισμό, ο οποίος ενδέχεται να μην αντέχει τις μεγάλες απαντήσεις ή τις συνδέσεις TCP. Η έγκαιρη έναρξη των δοκιμών δίνει στο οικοσύστημα τον χρόνο να εντοπίσει αυτές τις αστοχίες προτού αποκτήσουν πρακτική σημασία.

Η εφαρμογή της Cloudflare μπορεί να λειτουργήσει ως πεδίο δοκιμών σε πραγματικές συνθήκες, αποκαλύπτοντας πού αποτυγχάνει η μετάβαση στο TCP και ποιος εξοπλισμός απορρίπτει τις μεγάλες απαντήσεις. Η εταιρεία απέδειξε ότι ένας δημόσιος επιλυτής σε παραγωγική λειτουργία μπορεί να επικυρώσει απάντηση DNS υπογεγραμμένη με ML-DSA, αφού προηγουμένως στραφεί στο TCP. Δεν απέδειξε ακόμη πόσο αξιόπιστα ή γρήγορα λειτουργεί αυτή η διαδρομή υπό αντιπροσωπευτικό φόρτο.