Cloudflare tivvalida firem DNS kwantistiċi enormi

Meta l-brawżer tiegħek ifittex indirizz ta’ sit web, katina ta’ talbiet tittraduċih f’indirizz numeriku li kompjuter jista’ jidderieġi lejh. Dawk it-tweġibiet jistgħu jiġu ffirmati biex it-tagħmir tiegħek ikun jaf li ħadd ma biddilhom waqt it-trażmissjoni. Fl-10 ta’ Settembru, Cloudflare ppermettiet lir-riżolvitur pubbliku tagħha, 1.1.1.1, jivverifika tip ġdid ta’ firma maħsub biex jirreżisti l-kompjuters kwantistiċi tal-futur. Dominju tat-test diġà jgħaddi mill-verifika. Madankollu, bejn dik it-talba waħda vvalidata u internet reżistenti għall-kwantum hemm distakk li ebda kumpanija waħedha ma tista’ tagħlaq.

Is-siġill tax-xama’ jikber

Għal dominju li juża d-DNSSEC, ir-rekords DNS rilevanti jkollhom firem kriptografiċi. Riżolvitur jista’ jittraċċa kull firma lura permezz ta’ katina ta’ ċwievet fdati, u b’hekk jikkonferma li r-rekord ġie mill-awtorità DNS mistennija u ma nbidilx matul it-triq. Aħseb fih bħal siġill tax-xama’ fuq kartolina: jawtentika s-sors, iżda kulħadd xorta jista’ jaqra l-messaġġ. Id-DNSSEC ma jikkriptax it-talba tiegħek u lanqas ma jipproteġi s-sessjoni tal-ibbrawżjar tiegħek.

Is-siġilli tal-lum jużaw il-kriptografija klassika. Kompjuter kwantistiku b’saħħtu biżżejjed jista’, fit-teorija, jiffalsifikahom. ML-DSA-44, standardizzat min-NIST f’Awwissu 2024 bħala FIPS 204, huwa skema ta’ firma mibnija fuq strutturi matematiċi li l-magni kwantistiċi mhumiex mistennija jkunu jistgħu jiksru. L-IANA assenjatlu n-numru tal-algoritmu 18 fir-reġistru tad-DNSSEC. Dak li implimentat Cloudflare huwa l-kapaċità li tagħraf u tivverifika dan l-algoritmu meta dominju jippubblika r-rekords xierqa (Cloudflare).

L-utenti ta’ 1.1.1.1 ma kellhom għalfejn ibiddlu xejn. Id-dominji li jużaw algoritmi konvenzjonali jibqgħu jiġu vvalidati eżattament bħal qabel. Ir-riżolvitur sempliċement tgħallem lingwa ġdida.

Kbir wisq għal pakkett wieħed

L-istorja ewlenija tal-inġinerija hija d-daqs. Firma ML-DSA-44 fiha 2,420 byte, flimkien ma’ ċavetta pubblika ta’ 1,312-il byte (NIST FIPS 204, abbozz tal-IETF). Id-DNS klassiku nbena għal tweġibiet żgħar li joqogħdu f’pakkett wieħed tan-network. Firma waħda reżistenti għall-kwantum waħedha diġà taqbeż dak id-daqs komdu.

Tweġibiet kbar wisq jiskattaw tentattiv ieħor permezz tat-TCP, l-istess protokoll li juża l-brawżer tiegħek għall-paġni web. Dan jittrasmetti tagħbijiet kbar b’mod affidabbli, iżda jżid vjaġġ ieħor bejn iż-żewġ naħat. It-test ippubblikat minn Cloudflare, li jagħmel talba lil valid.mldsa44.dnstest.dev, juri li din is-sekwenza titlesta f’20.7 millisekondi (Cloudflare). Dan juri li l-infrastruttura taħdem. Huwa eżempju wieħed minn post wieħed, mhux kejl tal-prestazzjoni fin-network globali ta’ Cloudflare. Il-kumpanija ma ppubblikat ebda distribuzzjoni tal-latenza, rata ta’ fallimenti jew ċifra dwar il-wisa’ tal-banda.

Il-katina klassika ta’ fuq

Il-katina ta’ fiduċja tad-DNSSEC tibda minn ċavetta ewlenija u tgħaddi mid-dominji tal-ogħla livell (.com, .de, .fr) qabel tasal għand kwalunkwe sit web individwali. Illum, l-għerq tad-DNS u s-saffi ta’ fuq id-dominji individwali għadhom jiffirmaw b’algoritmi klassiċi. Cloudflare stess telenka l-iffirmar taż-żoni DNS awtoritattivi tagħha u l-attivazzjoni tar-reġistratur tagħha biex jippreżenta rekords ML-DSA bħala passi futuri, mhux bħala kapaċitajiet attwali (Cloudflare).

Dan huwa importanti għaliex id-DNSSEC huwa b’saħħtu daqs l-aktar ħolqa dgħajfa tiegħu. Attakkant kwantistiku li jkun jista’ jiffalsifika firma klassika f’livell ogħla tal-katina jista’ jidderieġi t-traffiku lejn destinazzjoni oħra qabel ma tibda kwalunkwe verifika postkwantistika f’livell aktar baxx.

Cloudflare integrat regola kontra t-tnaqqis fil-livell tas-sigurtà biex tindirizza parti minn din il-problema. Jekk żona ġenitur tiddikjara li ML-DSA huwa meħtieġ, 1.1.1.1 jirrifjuta tweġiba vvalidata biss bi kriptografija eqdem. Dan jipprevjeni t-tneħħija siekta tal-protezzjoni l-ġdida taħt dak il-punt (Cloudflare). Naturalment, il-protezzjoni tapplika biss taħt il-punt fejn fil-fatt jibda l-iffirmar postkwantistiku.

L-ispeċifikazzjoni li torbot ML-DSA mal-formati tar-rekords tad-DNSSEC għadha abbozz attiv ta’ grupp ta’ ħidma tal-IETF, għalhekk il-format operattiv għadu qed jiġi nnegozjat.

Għall-kuntrarju tat-traffiku kriptat, ir-rekords DNS iffirmati huma pubbliċi. M’hemmx l-urġenza li wieħed “jiġborhom issa u jiddekriptahom aktar tard”: ħadd ma jista’ jaħżen it-tweġibiet DNS tal-lum u jiffalsifikahom fil-futur permezz ta’ magna kwantistika. Ir-riskju huwa l-falsifikazzjoni futura fil-mument meta sseħħ. Iżda l-migrazzjoni tad-DNS teħtieġ koordinazzjoni bejn l-operaturi tal-għerq, ir-reġistri, ir-reġistraturi, is-servers awtoritattivi, is-software tar-riżolvitur u t-tagħmir tan-network li jista’ ma jiflaħx pakketti kbar wisq jew konnessjonijiet TCP imblukkati. Jekk tibda kmieni, l-ekosistema jkollha żmien tiskopri l-problemi qabel ma jsiru importanti.

L-implimentazzjoni tista’ tipprovdi pjattaforma ta’ ttestjar fid-dinja reali proprju għal dawn il-problemi, billi turi fejn ifalli l-użu alternattiv tat-TCP jew fejn it-tagħmir iwarrab tweġibiet kbar. Cloudflare wriet li riżolvitur pubbliku użat fil-produzzjoni jista’ jivvalida tweġiba DNS iffirmata b’ML-DSA wara li jaqleb għat-TCP. Ma wrietx kemm din ir-rotta taħdem b’mod affidabbli jew rapidu taħt tagħbija rappreżentattiva.