Cloudflare testuje kwantoodporny DNS

Zanim przeglądarka otworzy stronę, system DNS musi zamienić jej adres na numer rozpoznawany przez sieć. Odpowiedzi mogą być opatrzone podpisem, który pozwala urządzeniu sprawdzić, czy nikt nie zmienił ich po drodze. 10 września Cloudflare uruchomił w swoim publicznym serwerze DNS 1.1.1.1 weryfikację nowego rodzaju podpisu, odpornego na przyszłe komputery kwantowe. Testowa domena już przechodzi taką kontrolę. Od pojedynczego udanego zapytania do bezpiecznego internetu droga jest jednak długa i żadna firma nie pokona jej samodzielnie.

Większa pieczęć

W domenach korzystających z DNSSEC odpowiednie rekordy DNS mają podpisy kryptograficzne. Serwer rozwiązujący zapytanie, czyli resolver, może prześledzić każdy podpis przez łańcuch zaufanych kluczy i potwierdzić, że rekord pochodzi od właściwego operatora DNS oraz nie został zmieniony. Mechanizm przypomina lakową pieczęć na pocztówce: potwierdza nadawcę, lecz nie zasłania treści. DNSSEC nie szyfruje zapytania ani późniejszego połączenia ze stroną.

Stosowane obecnie podpisy opierają się na klasycznej kryptografii. Teoretycznie wystarczająco wydajny komputer kwantowy mógłby je podrobić. ML-DSA-44, ustandaryzowany przez NIST w sierpniu 2024 r. jako FIPS 204, wykorzystuje struktury matematyczne uznawane za odporne na ataki maszyn kwantowych. IANA nadała mu w rejestrze DNSSEC numer algorytmu 18. Cloudflare wdrożył możliwość rozpoznawania i sprawdzania tego algorytmu, gdy domena publikuje odpowiednie rekordy (Cloudflare).

Użytkownicy 1.1.1.1 nie musieli niczego zmieniać. Domeny korzystające z dotychczasowych algorytmów są sprawdzane jak wcześniej. Resolver nauczył się po prostu obsługiwać kolejny format podpisu.

Za dużo na jeden pakiet

Główne wyzwanie ma charakter inżynieryjny: chodzi o rozmiar danych. Podpis ML-DSA-44 zajmuje 2 420 bajtów, a klucz publiczny kolejne 1 312 bajtów (NIST FIPS 204, projekt IETF). Klasyczny DNS zaprojektowano z myślą o niewielkich odpowiedziach mieszczących się w pojedynczym pakiecie sieciowym. Sam podpis odporny na komputery kwantowe przekracza ten praktyczny limit.

Zbyt duża odpowiedź wymusza ponowienie zapytania przez TCP, czyli protokół używany również do przesyłania stron internetowych. Pozwala on niezawodnie obsługiwać większe porcje danych, ale wymaga dodatkowego obiegu komunikacji między urządzeniami. W teście Cloudflare zapytanie o valid.mldsa44.dnstest.dev zostało wykonane w 20,7 milisekundy (Cloudflare). Wynik potwierdza poprawność całego mechanizmu, lecz pochodzi z jednego pomiaru w jednej lokalizacji. Nie mówi więc wiele o wydajności globalnej sieci Cloudflare. Firma nie opublikowała rozkładu opóźnień, odsetka błędów ani danych o dodatkowym zużyciu pasma.

Klasyczne ogniwa łańcucha

Łańcuch zaufania DNSSEC zaczyna się od klucza głównego, następnie prowadzi przez domeny najwyższego poziomu, takie jak .com, .de czy .fr, a dopiero później dociera do konkretnej strony. Główny poziom DNS oraz warstwy nadrzędne wobec poszczególnych domen nadal korzystają z klasycznych algorytmów. Sam Cloudflare wymienia podpisywanie własnych autorytatywnych stref DNS oraz umożliwienie swojemu rejestratorowi przesyłania rekordów ML-DSA dopiero jako kolejne etapy prac (Cloudflare).

Bezpieczeństwo DNSSEC wyznacza najsłabsze ogniwo. Atakujący zdolny podrobić klasyczny podpis na wyższym poziomie łańcucha mógłby przekierować ruch, zanim resolver przystąpiłby do sprawdzania podpisu postkwantowego na niższym poziomie.

Cloudflare wprowadził regułę chroniącą przed częściowym wyłączeniem nowych zabezpieczeń. Jeżeli strefa nadrzędna wskaże ML-DSA jako wymagany algorytm, 1.1.1.1 odrzuci odpowiedź potwierdzoną wyłącznie starszą kryptografią. Uniemożliwia to niezauważone usunięcie ochrony poniżej takiego punktu (Cloudflare). Mechanizm działa jednak dopiero od miejsca, w którym rzeczywiście zaczyna się podpisywanie postkwantowe.

Specyfikacja określająca sposób zapisywania ML-DSA w rekordach DNSSEC pozostaje aktywnym projektem grupy roboczej IETF. Ostateczny format nadal jest więc przedmiotem uzgodnień.

Podpisane rekordy DNS, inaczej niż zaszyfrowany ruch, są publiczne. Nie występuje tu zagrożenie określane jako „zbieraj dziś, odszyfruj później”: nikt nie może zgromadzić obecnych odpowiedzi DNS, aby w przyszłości podrobić je za pomocą komputera kwantowego. Ryzyko pojawi się dopiero w chwili fałszowania podpisu. Migracja DNS wymaga jednak współpracy operatorów głównej strefy, rejestrów domen, rejestratorów, serwerów autorytatywnych, producentów resolverów i dostawców sprzętu sieciowego. Część urządzeń może nie radzić sobie z dużymi odpowiedziami lub blokować połączenia TCP. Wczesne rozpoczęcie testów daje czas na wykrycie takich problemów, zanim staną się realnym zagrożeniem.

Wdrożenie Cloudflare może stać się praktycznym poligonem do sprawdzania, gdzie zawodzi przejście na TCP i które urządzenia odrzucają większe odpowiedzi. Firma dowiodła, że publiczny resolver działający w środowisku produkcyjnym potrafi zweryfikować odpowiedź DNS podpisaną ML-DSA po przełączeniu na TCP. Nie wykazała jeszcze, jak szybko i niezawodnie mechanizm działa pod obciążeniem odpowiadającym rzeczywistemu ruchowi.