Cloudflare testar kvantsäkra DNS-signaturer

När webbläsaren slår upp en webbadress översätts den genom en kedja av förfrågningar till en numerisk adress som datorn kan dirigera trafiken till. Svaren kan signeras så att enheten kan kontrollera att de inte har ändrats på vägen. Den 10 september började Cloudflares publika DNS-resolver 1.1.1.1 verifiera en ny typ av signatur som ska stå emot framtida kvantdatorer. En testdomän klarar redan kontrollen. Men steget från en fungerande uppslagning till ett kvantsäkert internet kräver insatser från betydligt fler än ett enskilt företag.

Sigillet blir större

För en domän som använder DNSSEC förses de relevanta DNS-posterna med kryptografiska signaturer. En resolver kan följa varje signatur genom en kedja av betrodda nycklar och därmed kontrollera att posten kommer från rätt DNS-aktör och inte har ändrats under överföringen. Det kan jämföras med ett lacksigill på ett vykort: sigillet visar vem avsändaren är, men hindrar ingen från att läsa meddelandet. DNSSEC krypterar alltså varken DNS-förfrågan eller den efterföljande webbtrafiken.

Dagens signaturer bygger på klassisk kryptografi och skulle i teorin kunna förfalskas av en tillräckligt kraftfull kvantdator. ML-DSA-44, som NIST standardiserade i augusti 2024 genom FIPS 204, bygger på matematiska strukturer som kvantdatorer inte väntas kunna knäcka. IANA har gett metoden algoritmnummer 18 i DNSSEC-registret. Cloudflares förändring innebär att 1.1.1.1 kan känna igen och verifiera algoritmen när en domän publicerar rätt poster (Cloudflare).

Användarna av 1.1.1.1 behöver inte ändra något. Domäner med konventionella algoritmer verifieras som tidigare. Resolvern har helt enkelt fått stöd för ytterligare en signaturmetod.

För stort för ett paket

Den tekniska utmaningen handlar främst om storleken. En ML-DSA-44-signatur är 2 420 byte, och den publika nyckeln kräver ytterligare 1 312 byte (NIST FIPS 204, IETF draft). DNS utformades ursprungligen för små svar som ryms i ett enda nätverkspaket. Redan en kvantsäker signatur överskrider den storlek som systemet hanterar enklast.

När svaret blir för stort görs ett nytt försök över TCP, samma transportprotokoll som bland annat används för webbsidor. TCP överför stora datamängder tillförlitligt men kräver ytterligare kommunikation mellan parterna. I Cloudflares publicerade test tog en förfrågan till valid.mldsa44.dnstest.dev 20,7 millisekunder att genomföra på detta sätt (Cloudflare). Testet visar att tekniken fungerar, men avser ett enda försök från en enda plats och säger inget om prestandan i Cloudflares globala nät. Företaget har inte publicerat fördelningar för svarstider, felfrekvenser eller bandbreddsförbrukning.

Den klassiska kedjan ovanför

DNSSEC:s förtroendekedja börjar med en rotnyckel och löper genom toppdomäner som .com, .de och .fr innan den når den enskilda webbplatsen. DNS-roten och leden ovanför de enskilda domänerna använder fortfarande klassiska signaturalgoritmer. Även Cloudflare beskriver kvantsäker signering av företagets egna auktoritativa DNS-zoner och möjligheten för dess registrartjänst att skicka in ML-DSA-poster som kommande steg, inte som funktioner som redan finns (Cloudflare).

Det begränsar skyddet eftersom DNSSEC inte är starkare än förtroendekedjans svagaste länk. En angripare som med hjälp av en kvantdator kan förfalska en klassisk signatur högre upp i kedjan skulle kunna styra om trafiken innan den kvantsäkra kontrollen längre ned ens påbörjas.

Cloudflare har infört en regel som delvis skyddar mot nedgradering. Om en överordnad DNS-zon anger att ML-DSA krävs, avvisar 1.1.1.1 svar som enbart har verifierats med äldre kryptografi. Därmed kan det nya skyddet inte obemärkt tas bort under den punkten i kedjan (Cloudflare). Regeln gäller dock bara från den nivå där den kvantsäkra signeringen faktiskt börjar.

Specifikationen som kopplar ML-DSA till DNSSEC-posternas format är fortfarande ett active IETF working-group draft. Det praktiska formatet är därför ännu under förhandling.

Signerade DNS-poster är offentliga, till skillnad från krypterad trafik. Här finns därför ingen motsvarighet till risken att någon samlar in krypterad information i dag för att dekryptera den senare. Dagens DNS-svar kan inte lagras och i framtiden göras om till förfalskningar; risken uppstår först när en angripare kan skapa en falsk signatur i realtid. En övergång kräver samtidigt samordning mellan rotoperatörer, domänregister, registrarer, auktoritativa DNS-servrar, resolverprogram och nätverksutrustning som kan få problem med stora paket eller blockerade TCP-anslutningar. En tidig start ger aktörerna möjlighet att hitta sådana fel innan kvantdatorerna innebär ett konkret hot.

Cloudflares införande kan fungera som en praktisk testmiljö för dessa problem och visa var reservvägen över TCP misslyckas eller var nätverksutrustning kastar stora svar. Företaget har visat att en publik resolver i drift kan verifiera ett ML-DSA-signerat DNS-svar efter övergång till TCP. Däremot har det ännu inte visat hur snabbt och tillförlitligt detta fungerar under en belastning som motsvarar normal användning.