Cloudflare test kwantumbestendige DNS

Wanneer een browser een websiteadres opzoekt, zet een reeks verzoeken dat adres om in een numeriek adres waarnaar een computer verkeer kan sturen. Die antwoorden kunnen digitaal worden ondertekend, zodat het apparaat kan vaststellen dat niemand ze onderweg heeft aangepast. Op 10 september stelde Cloudflare zijn openbare resolver 1.1.1.1 in staat een nieuw type handtekening te controleren dat bestand moet zijn tegen toekomstige quantumcomputers. Bij een testdomein lukt dat al. Tussen die ene geslaagde controle en een quantumveilig internet ligt echter een kloof die geen enkel bedrijf alleen kan overbruggen.

Het lakzegel wordt groter

Bij een domein dat DNSSEC gebruikt, bevatten de relevante DNS-records cryptografische handtekeningen. Een resolver kan elke handtekening via een keten van vertrouwde sleutels herleiden en zo controleren of het record van de verwachte DNS-beheerder afkomstig is en onderweg niet is gewijzigd. Het werkt als een lakzegel op een ansichtkaart: de afzender is te controleren, maar iedereen kan het bericht nog steeds lezen. DNSSEC versleutelt de zoekopdracht immers niet en beschermt evenmin de daaropvolgende browsersessie.

De huidige zegels berusten op klassieke cryptografie. Een voldoende krachtige quantumcomputer zou die in theorie kunnen vervalsen. ML-DSA-44, in augustus 2024 door NIST gestandaardiseerd als FIPS 204, gebruikt wiskundige structuren die quantumcomputers naar verwachting niet kunnen kraken. IANA heeft de methode in het DNSSEC-register algoritmenummer 18 toegekend. Cloudflare heeft zijn resolver nu geleerd dit algoritme te herkennen en de handtekening te controleren wanneer een domein de juiste records publiceert (Cloudflare).

Gebruikers van 1.1.1.1 hoefden niets te veranderen. Domeinen met conventionele algoritmen worden nog precies hetzelfde gecontroleerd. De resolver begrijpt er simpelweg een nieuwe cryptografische taal bij.

Te groot voor één pakket

De technische uitdaging zit vooral in de omvang. Een ML-DSA-44-handtekening beslaat 2.420 bytes, boven op een openbare sleutel van 1.312 bytes (NIST FIPS 204, IETF-concept). Het klassieke DNS is ontworpen voor kleine antwoorden die in één netwerkpakket passen. Alleen al één quantumveilige handtekening overschrijdt die gebruikelijke grens.

Bij een te groot antwoord volgt een nieuwe poging via TCP, hetzelfde protocol dat browsers voor webpagina's gebruiken. TCP verwerkt grotere hoeveelheden gegevens betrouwbaar, maar vereist wel een extra heen-en-weerverbinding. In de gepubliceerde test van Cloudflare duurde een zoekopdracht naar valid.mldsa44.dnstest.dev inclusief die overstap 20,7 milliseconden (Cloudflare). Daarmee staat vast dat de techniek werkt. Het blijft één meting vanaf één locatie, geen prestatietest van het wereldwijde netwerk van Cloudflare. Het bedrijf publiceerde geen verdeling van de responstijden, foutpercentages of cijfers over het bandbreedtegebruik.

Daarboven blijft de keten klassiek

De vertrouwensketen van DNSSEC begint bij een rootsleutel en loopt via topleveldomeinen als .com, .de en .fr naar de afzonderlijke website. Vooralsnog gebruiken zowel de DNS-root als de lagen boven individuele domeinen klassieke algoritmen voor hun handtekeningen. Ook Cloudflare noemt het ondertekenen van zijn eigen gezaghebbende DNS-zones en het geschikt maken van zijn registrar voor de aanlevering van ML-DSA-records als toekomstige stappen, niet als bestaande mogelijkheden (Cloudflare).

Dat is relevant omdat DNSSEC slechts zo sterk is als de zwakste schakel. Kan een aanvaller met een quantumcomputer hoger in de keten een klassieke handtekening vervalsen, dan kan die het verkeer al omleiden voordat lager in de keten enige postquantumcontrole plaatsvindt.

Een antiterugvalregel van Cloudflare ondervangt een deel van dat probleem. Wanneer een bovenliggende zone voorschrijft dat ML-DSA verplicht is, weigert 1.1.1.1 een antwoord dat alleen met oudere cryptografie is gevalideerd. Zo kan de nieuwe bescherming vanaf dat punt niet ongemerkt worden verwijderd (Cloudflare). Uiteraard geldt die waarborg alleen onder het niveau waarop de postquantumondertekening daadwerkelijk begint.

De specificatie die ML-DSA koppelt aan de recordformaten van DNSSEC is overigens nog een actief concept van een IETF-werkgroep. Over het formaat voor praktisch gebruik wordt dus nog onderhandeld.

Ondertekende DNS-records zijn openbaar, anders dan versleuteld internetverkeer. De bij encryptie bekende dreiging van 'nu verzamelen, later ontsleutelen' speelt hier daarom niet: niemand kan de DNS-antwoorden van vandaag bewaren om ze later met een quantumcomputer te vervalsen. Het risico ontstaat pas wanneer toekomstige vervalsing daadwerkelijk mogelijk wordt. Een migratie van DNS vergt echter afstemming tussen beheerders van de root, registers, registrars, gezaghebbende servers, resolverprogrammatuur en netwerkapparatuur die mogelijk vastloopt op te grote pakketten of geblokkeerde TCP-verbindingen. Door vroeg te beginnen, krijgt het ecosysteem tijd om zulke problemen te vinden voordat ze gevolgen hebben.

De invoering kan voor precies die knelpunten een praktijktest opleveren, bijvoorbeeld door zichtbaar te maken waar de terugval op TCP mislukt of waar apparatuur grote antwoorden laat vallen. Cloudflare heeft aangetoond dat een openbare resolver in productie een met ML-DSA ondertekend DNS-antwoord na de overstap op TCP kan valideren. Hoe betrouwbaar en snel die route bij een representatieve belasting functioneert, heeft het bedrijf nog niet laten zien.