Cloudflare testa il DNS post-quantistico

Quando il browser cerca l’indirizzo di un sito, una catena di interrogazioni lo traduce in un indirizzo numerico che il computer può instradare. Le risposte possono essere firmate, così da permettere al dispositivo di verificare che nessuno le abbia alterate durante il transito. Il 10 settembre Cloudflare ha abilitato il resolver pubblico 1.1.1.1 alla verifica di un nuovo tipo di firma, concepito per resistere ai futuri computer quantistici; un dominio di prova supera già il controllo, ma tra questa singola interrogazione convalidata e una rete al riparo dagli attacchi quantistici resta una distanza che nessuna azienda può colmare da sola.

Il sigillo di ceralacca diventa più grande

Nei domini che utilizzano DNSSEC, i record DNS interessati contengono firme crittografiche. Il resolver può risalire da ciascuna firma lungo una catena di chiavi fidate, verificando che il record provenga dall’autorità DNS prevista e non abbia subito modifiche. È come un sigillo di ceralacca su una cartolina: autentica la provenienza, ma non impedisce a chiunque di leggerne il contenuto. DNSSEC non cifra l’interrogazione né protegge la sessione di navigazione.

I sigilli attuali si basano sulla crittografia classica e, almeno in teoria, un computer quantistico abbastanza potente potrebbe contraffarli. ML-DSA-44, standardizzato dal NIST nell’agosto 2024 come FIPS 204, è uno schema di firma fondato su strutture matematiche che le macchine quantistiche non dovrebbero riuscire a violare. IANA gli ha assegnato l’algorithm number 18 nel registro DNSSEC. Cloudflare ha introdotto la capacità di riconoscere e verificare questo algoritmo quando un dominio pubblica i record necessari (Cloudflare).

Per gli utenti di 1.1.1.1 non cambia nulla: i domini che adottano algoritmi convenzionali continuano a essere convalidati come prima, mentre il resolver ha semplicemente imparato un nuovo linguaggio.

Troppo grande per un solo pacchetto

La vera difficoltà ingegneristica riguarda le dimensioni. Una firma ML-DSA-44 occupa 2.420 byte, ai quali si aggiunge una chiave pubblica da 1.312 byte (NIST FIPS 204, IETF draft). Il DNS classico nacque per risposte compatte, capaci di viaggiare in un singolo pacchetto di rete; una sola firma resistente ai computer quantistici supera già quella soglia.

Quando la risposta è troppo grande, il sistema ripete l’interrogazione tramite TCP, lo stesso protocollo usato dal browser per le pagine web, che gestisce in modo affidabile carichi più pesanti al prezzo di un ulteriore scambio sulla rete. Nel test pubblicato da Cloudflare, l’interrogazione di valid.mldsa44.dnstest.dev completa questa sequenza in 20,7 millisecondi (Cloudflare). È la prova che il meccanismo funziona, ma rimane un singolo esempio rilevato da una sola località, non una misurazione delle prestazioni sull’intera rete globale di Cloudflare: l’azienda non ha pubblicato distribuzioni della latenza, tassi di errore o dati sul consumo di banda.

La catena classica ai livelli superiori

La catena di fiducia di DNSSEC parte da una chiave radice, attraversa i domini di primo livello (.com, .de, .fr) e arriva infine ai singoli siti. Oggi la radice DNS e i livelli sovrastanti continuano a firmare con algoritmi classici. La stessa Cloudflare indica tra i prossimi passi, e non tra le funzioni già disponibili, la firma delle proprie zone DNS autoritative e la possibilità per il registrar di trasmettere record ML-DSA (Cloudflare).

DNSSEC, del resto, è solido quanto l’anello più debole della catena: un aggressore quantistico capace di contraffare una firma classica a un livello superiore potrebbe dirottare il traffico prima ancora che inizi qualunque verifica post-quantistica più in basso.

Per limitare almeno una parte del problema, Cloudflare ha introdotto una regola contro il downgrade: se una zona superiore dichiara obbligatorio ML-DSA, 1.1.1.1 respinge le risposte convalidate soltanto mediante la vecchia crittografia. Si impedisce così che la nuova protezione venga rimossa silenziosamente al di sotto di quel punto (Cloudflare); la garanzia vale però, com’è ovvio, solo a partire dal livello in cui comincia davvero la firma post-quantistica.

La specifica che integra ML-DSA nei formati dei record DNSSEC è ancora un active IETF working-group draft, dunque il formato operativo resta oggetto di negoziato.

A differenza del traffico cifrato, i record DNS firmati sono pubblici, perciò non esiste l’urgenza del «raccogliere oggi per decifrare domani»: nessuno può accumulare le risposte DNS attuali per poi contraffarle in futuro con una macchina quantistica. Il rischio riguarda la falsificazione nel momento in cui avverrà. La migrazione del DNS richiede tuttavia il coordinamento tra gestori della radice, registri, registrar, server autoritativi, software dei resolver e apparati di rete, alcuni dei quali potrebbero non gestire correttamente pacchetti troppo grandi o connessioni TCP bloccate. Muoversi per tempo consente all’ecosistema di individuare i problemi prima che diventino urgenti.

L’introduzione di questa funzione può offrire una piattaforma di prova nel mondo reale, facendo emergere i punti in cui il ripiego su TCP non funziona o gli apparati scartano le risposte più grandi. Cloudflare ha dimostrato che un resolver pubblico in produzione riesce a convalidare una risposta DNS firmata con ML-DSA dopo il passaggio a TCP; non ha ancora dimostrato con quale affidabilità e rapidità il sistema regga sotto un carico rappresentativo.