Cloudflare preizkusil velike kvantno varne podpise DNS

Ko brskalnik poišče spletni naslov, ga niz poizvedb pretvori v številčni naslov, na katerega lahko računalnik usmeri promet. Odgovori so lahko digitalno podpisani, zato naprava preveri, ali jih je kdo med prenosom spremenil. Cloudflare je 10. septembra svojemu javnemu razreševalniku DNS 1.1.1.1 omogočil preverjanje nove vrste podpisov, odpornih proti prihodnjim kvantnim računalnikom. Preverjanje na poskusni domeni že deluje, vendar med enim uspešno preverjenim naslovom in kvantno varnim internetom ostaja vrzel, ki je posamezno podjetje ne more zapolniti.

Večji voščeni pečat

Pri domenah, ki uporabljajo DNSSEC, so ustrezni zapisi DNS opremljeni s kriptografskimi podpisi. Razreševalnik lahko vsak podpis po verigi zaupanja poveže z zaupanja vrednimi ključi ter tako potrdi, da je zapis prišel od pričakovanega upravljavca DNS in se na poti ni spremenil. Sistem deluje podobno kot voščeni pečat na razglednici: potrjuje pošiljatelja, vsebina pa ostaja vidna vsakomur. DNSSEC poizvedbe ne šifrira in ne varuje nadaljnje povezave med brskalnikom in spletno stranjo.

Sedanji podpisi temeljijo na klasični kriptografiji, ki bi jo dovolj zmogljiv kvantni računalnik teoretično lahko izkoristil za ponarejanje podpisov. ML-DSA-44, ki ga je ameriški inštitut NIST avgusta 2024 standardiziral kot FIPS 204, uporablja matematične strukture, za katere ne pričakujejo, da jih bodo kvantni računalniki lahko razbili. IANA mu je v registru DNSSEC dodelila številko algoritma 18. Cloudflare je uvedel podporo, s katero njegov razreševalnik prepozna in preveri ta algoritem, kadar domena objavi ustrezne zapise (Cloudflare).

Uporabnikom storitve 1.1.1.1 ni bilo treba ničesar spremeniti, domene z običajnimi algoritmi pa se še naprej preverjajo enako kot doslej. Razreševalnik je zgolj dobil podporo za nov algoritem.

Preveliko za en paket

Glavni tehnični izziv je velikost. Podpis ML-DSA-44 obsega 2.420 bajtov, javni ključ pa še 1.312 bajtov (NIST FIPS 204, osnutek IETF). Klasični DNS je bil zasnovan za kratke odgovore, ki jih je mogoče poslati v enem omrežnem paketu, medtem ko že en sam kvantno odporen podpis presega to običajno velikost.

Pri prevelikem odgovoru se poizvedba ponovi prek protokola TCP, ki ga brskalniki uporabljajo tudi za spletne strani. TCP večje količine podatkov prenese zanesljivo, vendar zahteva dodaten krog komunikacije. Cloudflare je objavil poskus s poizvedbo za valid.mldsa44.dnstest.dev, ki se je po tem postopku končala v 20,7 milisekunde (Cloudflare). Rezultat potrjuje, da tehnična pot deluje, ne pove pa, kako zmogljiva je v celotnem Cloudflarovem svetovnem omrežju, saj gre za en primer z ene lokacije. Podjetje ni objavilo porazdelitve zakasnitev, deleža neuspešnih poizvedb niti podatkov o porabi pasovne širine.

Klasična veriga na višjih ravneh

Veriga zaupanja DNSSEC se začne s korenskim ključem, nato poteka prek vrhnjih domen, kot so .com, .de in .fr, ter se šele zatem konča pri posameznem spletnem mestu. Koren DNS in ravni nad posameznimi domenami za zdaj še vedno uporabljajo klasične podpisne algoritme. Tudi Cloudflare podpisovanje svojih avtoritativnih območij DNS in možnost, da bi njegov registrar posredoval zapise ML-DSA, navaja kot prihodnja koraka, ne kot sedanji zmogljivosti (Cloudflare).

Varnost DNSSEC določa njegov najšibkejši člen. Če bi napadalec s kvantnim računalnikom ponaredil klasični podpis na višji ravni verige, bi lahko promet preusmeril, še preden bi se začelo preverjanje postkvantnega podpisa nižje v njej.

Cloudflare je del te težave omejil s pravilom proti znižanju ravni zaščite. Če nadrejeno območje določi obvezno uporabo ML-DSA, bo 1.1.1.1 zavrnil odgovor, ki je potrjen samo s starejšo kriptografijo. S tem prepreči neopazno odstranitev nove zaščite pod navedeno točko (Cloudflare). Pravilo seveda velja le za del verige pod ravnjo, na kateri se postkvantno podpisovanje dejansko začne.

Specifikacija, ki določa uporabo ML-DSA v zapisih DNSSEC, je še vedno dejaven osnutek delovne skupine IETF, zato se o končnem formatu še dogovarjajo.

Podpisani zapisi DNS so v nasprotju s šifriranim prometom javni, zato pri njih ni tveganja po načelu »prestrezite zdaj, dešifrirajte pozneje«. Današnjih odgovorov DNS ni mogoče shraniti in jih nato s prihodnjim kvantnim računalnikom za nazaj ponarediti; nevarnost nastane, ko bi napadalec v prihodnosti podpis ponaredil ob sami poizvedbi. Prehod sistema DNS pa zahteva usklajevanje upravljavcev korenskih strežnikov, registrov, registrarjev, avtoritativnih strežnikov, programske opreme razreševalnikov in omrežne opreme, ki morda ne zmore obdelati velikih paketov ali blokira povezave TCP. Zgodnji začetek zato omogoča, da ponudniki težave odkrijejo, še preden bi te vplivale na varnost sistema.

Cloudflarova uvedba lahko postane praktično preskusno okolje za odkrivanje mest, kjer prehod na TCP odpove ali omrežna oprema zavrže velike odgovore. Podjetje je dokazalo, da lahko produkcijski javni razreševalnik po prehodu na TCP preveri odgovor DNS, podpisan z ML-DSA. Ni pa še pokazalo, kako zanesljivo in hitro ta postopek deluje pri obremenitvah, značilnih za vsakdanjo uporabo.