Cloudflare hitelesíti a túlméretes kvantumbiztos DNS-aláírásokat

Amikor a böngésző lekéri egy weboldal címét, egymásra épülő DNS-lekérdezések fordítják le azt a hálózaton használható számsorra. A válaszokat digitális aláírással is elláthatják, így a felhasználó eszköze ellenőrizheti, hogy útközben nem módosították-e őket. A Cloudflare szeptember 10-én képessé tette nyilvános DNS-feloldóját, az 1.1.1.1-et egy olyan új aláírás ellenőrzésére, amelyet a jövő kvantumszámítógépeinek támadásaival szemben terveztek ellenállóvá. Egy tesztdomainen az ellenőrzés már működik, de ettől még messze van a kvantumbiztos internet, és ezt a távolságot egyetlen vállalat sem hidalhatja át.

Nagyobb lesz a viaszpecsét

A DNSSEC-et használó domaineknél a kapcsolódó DNS-rekordokat kriptográfiai aláírás védi. A DNS-feloldó ezeket az aláírásokat megbízható kulcsok láncolatán keresztül ellenőrzi, így megállapíthatja, hogy a rekord az illetékes DNS-szolgáltatótól származik-e, és módosították-e továbbítás közben. A rendszer olyan, mint a képeslapon lévő viaszpecsét: igazolja a feladót, de magát az üzenetet bárki elolvashatja. A DNSSEC tehát nem titkosítja sem a lekérdezést, sem a böngészési kapcsolatot.

A most használt „pecsétek” klasszikus kriptográfiára épülnek, amelynek aláírásait egy kellően nagy teljesítményű kvantumszámítógép elméletileg meghamisíthatná. Az ML-DSA-44 olyan matematikai szerkezeteken alapuló aláírási eljárás, amelyeket a várakozások szerint a kvantumszámítógépek sem tudnak feltörni. Az amerikai NIST 2024 augusztusában szabványosította FIPS 204 néven, az IANA pedig a 18-as algoritmusszámot rendelte hozzá a DNSSEC nyilvántartásában. A Cloudflare fejlesztése azt teszi lehetővé, hogy az 1.1.1.1 felismerje és ellenőrizze ezt az algoritmust, ha egy domain közzéteszi a megfelelő rekordokat (Cloudflare).

Az 1.1.1.1 felhasználóinak ehhez semmit sem kellett átállítaniuk, a hagyományos algoritmusokat használó domainek ellenőrzése pedig változatlanul működik. A DNS-feloldó mindössze egy új aláírási formátumot tanult meg értelmezni.

Nem fér el egyetlen csomagban

A fejlesztés legnagyobb műszaki nehézségét az adatok mérete okozza. Egy ML-DSA-44-aláírás 2 420 bájtos, a hozzá tartozó nyilvános kulcs pedig további 1 312 bájtot foglal el (NIST FIPS 204, IETF-tervezet). A hagyományos DNS-t még olyan rövid válaszokra tervezték, amelyek egyetlen hálózati csomagban elférnek, ezt a kényelmes mérethatárt azonban már önmagában egy kvantumbiztos aláírás is túllépi.

Ha a válasz túl nagy, a rendszer TCP-protokollon ismétli meg a lekérdezést. A weboldalak továbbítására is használt TCP megbízhatóan kezeli a nagyobb adatmennyiséget, de egy további oda-vissza adatcserével növeli a válaszidőt. A Cloudflare közzétett tesztjében a valid.mldsa44.dnstest.dev lekérdezése 20,7 ezredmásodperc alatt futott végig ezen a folyamaton (Cloudflare). Ez igazolja, hogy a műszaki megoldás működik, de csupán egyetlen helyszín egyetlen méréséről van szó, nem pedig a Cloudflare globális hálózatának teljesítményvizsgálatáról. A vállalat nem közölt adatokat sem a késleltetés eloszlásáról, sem a hibaarányról, sem a sávszélesség-igényről.

A lánc felső része továbbra is klasszikus

A DNSSEC bizalmi lánca a gyökérkulcsnál kezdődik, majd a legfelső szintű domaineken, például a .com, a .de vagy a .fr végződéseken keresztül jut el az egyes weboldalakig. A DNS gyökérzónája és az egyedi domainek fölötti szintek jelenleg még klasszikus algoritmusokkal írják alá rekordjaikat. A Cloudflare is csak jövőbeli feladatként említi saját mérvadó DNS-zónáinak aláírását, valamint azt, hogy regisztrátora ML-DSA-rekordokat továbbíthasson; ezek ma még nem elérhető funkciók (Cloudflare).

A DNSSEC védelmét ugyanis a bizalmi lánc leggyengébb eleme határozza meg. Ha egy kvantumszámítógéppel rendelkező támadó a lánc valamelyik magasabb pontján meg tudna hamisítani egy klasszikus aláírást, még azelőtt átirányíthatná a forgalmat, hogy az alsóbb szinten működésbe lépne a kvantumbiztos ellenőrzés.

A Cloudflare részben egy visszaminősítés elleni szabállyal kezeli ezt a kockázatot. Ha egy szülőzóna előírja az ML-DSA használatát, az 1.1.1.1 elutasítja azt a választ, amelyet csak régebbi kriptográfiai eljárással hitelesítettek. Így a támadó az adott pont alatt nem távolíthatja el észrevétlenül az új védelmet (Cloudflare). A szabály azonban csak attól a szinttől lefelé véd, ahol ténylegesen megkezdődik a kvantumbiztos aláírás.

Az ML-DSA és a DNSSEC rekordformátumainak összekapcsolását rögzítő specifikáció egyelőre az IETF munkacsoportjának kidolgozás alatt álló tervezete, vagyis a használat pontos formájáról még nem született végleges megállapodás.

A titkosított hálózati forgalommal ellentétben az aláírt DNS-rekordok nyilvánosak, ezért itt nem áll fenn a „gyűjtsd be most, fejtsd vissza később” veszélye: a ma rögzített DNS-válaszokat egy későbbi kvantumszámítógéppel sem lehet utólag meghamisítani. A kockázatot az jelenti, hogy a jövőben a válasz keletkezésekor hamis aláírást készíthetnek. A DNS átállításához ugyanakkor össze kell hangolni a gyökérzóna üzemeltetőit, a domainnyilvántartókat és -regisztrátorokat, a mérvadó DNS-szervereket, a feloldószoftvereket, valamint azokat a hálózati eszközöket, amelyek esetleg nem kezelik a túlméretes csomagokat vagy a letiltott TCP-kapcsolatokat. A korai kezdés időt ad arra, hogy ezeket a hibákat még azelőtt feltárják, hogy valódi biztonsági kockázatot okoznának.

A Cloudflare rendszere gyakorlati tesztkörnyezetet teremthet e problémák feltérképezéséhez, például megmutathatja, hol hiúsul meg a TCP-re váltás, és mely hálózati eszközök dobják el a nagy válaszokat. A vállalat azt már igazolta, hogy egy üzemben működő nyilvános DNS-feloldó TCP-re váltva képes ellenőrizni az ML-DSA-val aláírt DNS-választ. Azt azonban még nem mutatta meg, hogy átlagos hálózati terhelés mellett mennyire megbízhatóan és milyen sebességgel működik ez az útvonal.