Cloudflare hat die Überprüfung von DNSSEC-Signaturen mit dem Algorithmus ML-DSA-44 auf dem öffentlichen DNS-Resolver 1.1.1.1 aktiviert. Damit soll die Bereitschaft des Domain Name Systems für eine Phase getestet werden, in der aktuelle Signaturalgorithmen durch leistungsfähige Quantencomputer möglicherweise gebrochen werden können. Nach Angaben des Unternehmens ist dies der Beginn eines längeren Übergangsprozesses und keine vollständige Umsetzung der postquantenkryptografischen Sicherheit für DNSSEC.
Das National Institute of Standards and Technology (NIST) in den Vereinigten Staaten hat ML-DSA-44 als einen der standardisierten Algorithmen veröffentlicht, und der Algorithmus erhielt von der IANA die Nummer 18 für DNSSEC-Algorithmen. Cloudflare plant, bis 2029 eine vollständige postquantenkryptografische Sicherheit zu erreichen, nachdem sich ein großer Teil der bisherigen Arbeit des Unternehmens auf Schlüsselaustauschverfahren in TLS konzentriert hatte.
Eine einzelne Signatur ist größer als ein übliches DNS-Paket
Das wichtigste praktische Hindernis ist die Größe der Signatur. Eine ML-DSA-44-Signatur ist 2.420 Byte groß, gegenüber 64 Byte bei einer ECDSA-P-256-Signatur; außerdem ist ihr öffentlicher Schlüssel 1.312 Byte groß. Damit überschreitet allein die Signatur gängige Grenzen für DNS-Antworten über UDP – noch bevor Datensätze, Domainnamen, Protokollheader und die übrigen DNSSEC-Datensätze hinzukommen.
DNS-Implementierungen verwenden häufig eine konservative Grenze von 1.232 Byte für UDP-Pakete, die mit der Mindestgröße der Maximum Transmission Unit (MTU) in IPv6 verbunden ist. Reicht die Paketgröße nicht aus, sollte der autoritative Server eine abgeschnittene Antwort zurückgeben, die den Resolver zu einem erneuten Versuch über ein anderes Protokoll – meist TCP – veranlasst, statt sich auf unzuverlässige UDP-Fragmentierung zu verlassen. Besonders deutlich zeigt sich das Problem bei DNSKEY-Antworten, die die zur Überprüfung der Zone erforderlichen Schlüssel enthalten. Es kann noch größer werden, wenn traditionelle und postquantenkryptografische Schlüssel gemeinsam veröffentlicht oder Schlüssel ausgetauscht werden.
Verhindern eines Rückfalls auf traditionelle Signaturen
Traditionelle Algorithmen können nicht sofort abgeschaltet werden, da ältere Resolver eine Zone nicht überprüfen können, die ausschließlich ML-DSA-44 veröffentlicht. Das Beibehalten beider Pfade kann jedoch einen Weg zu einer Sicherheitsabschwächung eröffnen: Sobald ein traditioneller Algorithmus wie ECDSA quantenunsicher geworden ist, könnte ein Angreifer eine darauf basierende Antwort fälschen, obwohl der Resolver ML-DSA-44 verwenden kann.
Um dem entgegenzuwirken, verwendet 1.1.1.1 die in der übergeordneten Zone veröffentlichten DS-Datensätze. Enthält die validierte DS-Menge einen Datensatz für einen unterstützten postquantenkryptografischen Algorithmus, wendet Cloudflare eine strengere lokale Prüfungsrichtlinie an, sodass ein gültiger Prüfpfad mit ML-DSA-44 vorhanden sein muss; der traditionelle Pfad allein reicht nicht aus. Das Unternehmen weist darauf hin, dass dies noch nicht der übliche Prüfmechanismus in DNSSEC ist, sich aber auf die durch RFC 4035 ermöglichten Befugnisse lokaler Richtlinien stützt.
Was ändert sich praktisch?
Für Nutzer von 1.1.1.1 ist keine Änderung erforderlich. Die Überprüfung erfolgt automatisch, sobald die Zone die erforderlichen DNSSEC-Datensätze veröffentlicht, während bestehende Zonen wie gewohnt weiter funktionieren. Cloudflare zufolge erreichen etwa 85 % der Anfragen an 1.1.1.1 den Dienst über UDP. Daher sind die Messung größerer Antworten und erneute Versuche über TCP ein wichtiger Bestandteil des Betriebtests.
Die Aktivierung der Überprüfung auf dem Resolver schafft jedoch noch keine vollständige postquantenkryptografische Vertrauenskette. Autoritative Server müssen die Signierung von Zonen unterstützen, Registrare müssen geeignete DS-Datensätze akzeptieren, und diese müssen von den Zonen der übergeordneten Ebene bis zur DNS-Root-Zone veröffentlicht werden. Jede Ebene ohne postquantenkryptografischen Schutz bleibt ein potenzieller Ansatzpunkt für eine Herabstufung.
Die Einordnung von certi.news
Der zentrale Wert dieser Ankündigung besteht nicht darin, dem Endnutzer eine neue Option hinzuzufügen, sondern ML-DSA-44 von einem kryptografischen Standard in einen groß angelegten Betriebstest zu überführen. Das von Cloudflare aufgedeckte Problem ist doppelt: Es müssen Nachrichten übertragen werden, die deutlich größer als üblich sind, und zugleich muss die Strenge der Überprüfung gewahrt bleiben, solange alte Algorithmen noch jahrelang im Einsatz sind. Die offenen Fragen betreffen weiterhin die Geschwindigkeit, mit der sich der Algorithmus über die gesamte DNS-Kette verbreitet, sowie die Messung der Bandbreitenkosten und der zunehmenden TCP-Nutzung. Cloudflare beabsichtigt, später die Unterstützung für die ML-DSA-44-Signierung zu Cloudflare Authoritative DNS hinzuzufügen und DS-Datensätze in Cloudflare Registrar für seine Kunden kostenlos zu unterstützen, wodurch der vollständige Pfad getestet werden könnte.