Deimhníonn Cloudflare sínithe móra candamdhíonacha DNS

Nuair a lorgaíonn do bhrabhsálaí seoladh suíomh gréasáin, aistríonn slabhra fiosruithe é ina sheoladh uimhriúil ar féidir le ríomhaire trácht a sheoladh chuige. Is féidir na freagraí sin a shíniú, ionas go mbeidh a fhios ag do ghléas nár athraigh aon duine iad agus iad á dtarchur. An 10 Meán Fómhair, chuir Cloudflare ar chumas a réiteora phoiblí, 1.1.1.1, cineál nua sínithe a fhíorú atá ceaptha chun ríomhairí candamacha na todhchaí a sheasamh. Tá fearann tástála tar éis an tseiceáil a shárú cheana féin. Idir an t-aon chuardach fíoraithe sin agus idirlíon atá slán ar ríomhairí candamacha, áfach, tá bearna nach féidir le haon chuideachta amháin a dhúnadh.

Éiríonn an Séala Céir Níos Mó

I gcás fearainn a úsáideann DNSSEC, bíonn sínithe cripteagrafacha ar na taifid DNS ábhartha. Is féidir le réiteoir gach síniú a rianú siar trí shlabhra eochracha iontaofa, lena dheimhniú gur tháinig an taifead tríd an údarás DNS a rabhthas ag súil leis agus nár athraíodh é ar an mbealach. Samhlaigh séala céir ar chárta poist: fíordheimhníonn sé an fhoinse, ach is féidir le duine ar bith an teachtaireacht a léamh fós. Ní chriptíonn DNSSEC d’fhiosrú agus ní chosnaíonn sé do sheisiún brabhsála.

Úsáideann séalaí an lae inniu cripteagrafaíocht chlasaiceach. Go teoiriciúil, d’fhéadfadh ríomhaire candamach a bheadh cumhachtach go leor iad a bhrionnú. Is scéim sínithe é ML-DSA-44, a chaighdeánaigh NIST i mí Lúnasa 2024 mar FIPS 204, atá bunaithe ar struchtúir mhatamaiticiúla nach gceaptar go mbeidh meaisíní candamacha in ann iad a shárú. Tá uimhir algartaim 18 tugtha dó ag IANA i gclárlann DNSSEC. Is é an rud a chuir Cloudflare i bhfeidhm ná an cumas an t-algartam sin a aithint agus a fhíorú nuair a fhoilsíonn fearann na taifid chearta (Cloudflare).

Ní raibh ar úsáideoirí 1.1.1.1 aon rud a athrú. Leantar d’fhearainn a úsáideann algartaim thraidisiúnta a fhíorú díreach mar a rinneadh roimhe seo. Ní dhearna an réiteoir ach teanga nua a fhoghlaim.

Rómhór d’Aon Phaicéad Amháin

Is é an méid croílár an scéil innealtóireachta. Tá síniú ML-DSA-44 2,420 beart ar fad, agus tá eochair phoiblí 1,312 beart sa bhreis air sin (NIST FIPS 204, dréacht IETF). Dearadh DNS clasaiceach le haghaidh freagraí beaga a d’oirfeadh i bpaicéad líonra amháin. Sáraíonn síniú candam-díonach amháin an méid compordach sin.

Spreagann freagraí rómhóra atriail thar TCP, an prótacal céanna a úsáideann do bhrabhsálaí le haghaidh leathanaigh ghréasáin. Láimhseálann sé ualaí móra go hiontaofa, ach cuireann sé turas fillte amháin leis. Léiríonn tástáil fhoilsithe Cloudflare, ina ndearnadh fiosrú ar valid.mldsa44.dnstest.dev, gur cuireadh an próiseas seo i gcrích in 20.7 milleasoicind (Cloudflare). Cruthaíonn sé sin go n-oibríonn an córas teicniúil. Is sampla amháin é ó láthair amháin, ní tomhas feidhmíochta ar fud líonra domhanda Cloudflare. Níor fhoilsigh an chuideachta dáiltí aga folaigh, rátaí teipe ná figiúirí bandaleithid.

An Slabhra Clasaiceach Os a Chionn

Tosaíonn slabhra muiníne DNSSEC ag fréamheochair agus téann sé trí fhearainn ardleibhéil (.com, .de, .fr) sula sroicheann sé aon suíomh gréasáin ar leith. Sa lá atá inniu ann, síníonn fréamh DNS agus na sraitheanna os cionn fearann aonair le halgartaim chlasaiceacha fós. Liostaíonn Cloudflare féin síniú a chriosanna údarásacha DNS féin agus cur ar chumas a chláraitheora taifid ML-DSA a chur isteach mar chéimeanna amach anseo, seachas mar chumais atá ar fáil faoi láthair (Cloudflare).

Tá tábhacht leis sin toisc nach bhfuil DNSSEC níos láidre ná an nasc is laige ina shlabhra. D’fhéadfadh ionsaitheoir candamach a bheadh in ann síniú clasaiceach níos airde sa slabhra a bhrionnú trácht a atreorú sula gcuirfí tús le haon seiceáil iarchandamach níos ísle síos.

Tá riail frith-ísghrádaithe ionsuite ag Cloudflare chun aghaidh a thabhairt ar chuid den fhadhb seo. Má dhearbhaíonn crios tuismitheora go bhfuil ML-DSA riachtanach, diúltóidh 1.1.1.1 do fhreagra nach bhfuil fíoraithe ach le cripteagrafaíocht níos sine. Cuireann sé sin cosc ar an gcosaint nua a bhaint go ciúin faoi bhun an phointe sin (Cloudflare). Ar ndóigh, ní bhíonn feidhm ag an gcosaint ach faoi bhun na háite ina dtosaíonn síniú iarchandamach i ndáiríre.

Tá an tsonraíocht lena gceanglaítear ML-DSA le formáidí taifead DNSSEC fós ina dréacht gníomhach de chuid mheitheal IETF, agus mar sin tá an fhormáid oibríochta fós á caibidliú.

Murab ionann agus trácht criptithe, is taifid phoiblí iad taifid DNS shínithe. Níl aon phráinn ann maidir le “bailigh anois, díchriptigh níos déanaí”: ní féidir le duine ar bith freagraí DNS an lae inniu a charnadh agus iad a bhrionnú le meaisín candamach amach anseo. Is é an riosca ná brionnú amach anseo, tráth a dtarlaíonn sé. Ach teastaíonn comhordú chun DNS a aistriú idir oibreoirí fréimhe, clárlanna, cláraitheoirí, freastalaithe údarásacha, bogearraí réiteora agus trealamh líonra a bhféadfadh paicéid rómhóra nó naisc TCP bhlocáilte a bheith ródheacair dóibh. Má chuirtear tús leis go luath, beidh deis ag an éiceachóras fadhbanna a aimsiú sula mbeidh iarmhairtí acu.

D’fhéadfadh an cur i bhfeidhm ardán tástála sa saol praiticiúil a chur ar fáil do na fadhbanna sin go díreach, agus léiriú cá dteipeann ar an aistriú cúltaca go TCP nó cá ndiúltaíonn trealamh do fhreagraí móra. Tá sé léirithe ag Cloudflare gur féidir le réiteoir poiblí táirgthe freagra DNS sínithe le ML-DSA a fhíorú tar éis dó aistriú siar go TCP. Níor léirigh sé cé chomh hiontaofa ná cé chomh tapa agus a oibríonn an chonair sin faoi ualach ionadaíoch.