Cloudflare activó la validación de firmas DNSSEC mediante el algoritmo ML-DSA-44 en el resolutor DNS público 1.1.1.1, en un paso destinado a probar la preparación del sistema de nombres de dominio para una etapa en la que los algoritmos de firma actuales podrían ser vulnerables a ordenadores cuánticos potentes. La empresa afirma que este paso es el inicio de una transición más larga, no una implementación completa de la seguridad DNSSEC poscuántica.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó el algoritmo ML-DSA-44 entre los algoritmos estandarizados, y el algoritmo recibió el número 18 para algoritmos DNSSEC de IANA. Cloudflare planea alcanzar una seguridad poscuántica completa para 2029, después de que gran parte de su trabajo anterior se centrara en los acuerdos de claves de TLS.
Una sola firma más grande que un paquete DNS habitual
El principal obstáculo práctico es el tamaño de la firma. La firma ML-DSA-44 mide 2.420 bytes, frente a los 64 bytes de una firma ECDSA P-256, mientras que su clave pública mide 1.312 bytes. Por ello, la firma por sí sola supera los límites habituales de las respuestas DNS mediante UDP, antes de añadir los registros, los nombres de dominio, las cabeceras del protocolo y el resto de los registros DNSSEC.
Las implementaciones de DNS suelen utilizar un límite conservador de 1.232 bytes para los paquetes UDP, un límite relacionado con la unidad máxima de transmisión mínima de IPv6. Cuando el paquete no es suficiente, el servidor authoritative debe devolver una respuesta truncada que haga que el resolutor vuelva a intentarlo mediante otro protocolo, normalmente TCP, en lugar de depender de una fragmentación UDP no fiable. El problema se hace especialmente evidente en las respuestas DNSKEY, que contienen las claves necesarias para validar la zona, y puede agravarse al publicar simultáneamente claves tradicionales y poscuánticas o durante la rotación de claves.
Impedir la vuelta a la firma tradicional
Los algoritmos tradicionales no pueden detenerse de inmediato, porque los resolutores antiguos no podrán validar una zona que publique únicamente ML-DSA-44. Sin embargo, mantener ambas vías simultáneamente podría abrir una vía de degradación de la seguridad: cuando un algoritmo tradicional como ECDSA deje de ser seguro frente a la computación cuántica, un atacante podría falsificar una respuesta que dependiera de él pese a que el resolutor pudiera utilizar ML-DSA-44.
Para afrontar esto, 1.1.1.1 se basa en los registros DS publicados en la zona padre. Si el conjunto de DS autenticado contiene un registro para un algoritmo poscuántico compatible, Cloudflare aplica una política de validación local más estricta, de modo que debe existir una ruta de validación válida mediante ML-DSA-44; la ruta tradicional por sí sola no es suficiente. La empresa explica que este todavía no es el mecanismo de validación habitual de DNSSEC, pero se basa en las facultades de política local que permite RFC 4035.
¿Qué cambia en la práctica?
Los usuarios de 1.1.1.1 no tienen que realizar ningún cambio; la validación se produce automáticamente cuando la zona publica los registros DNSSEC necesarios, mientras que las zonas actuales continúan funcionando de la manera habitual. Cloudflare afirma que aproximadamente el 85 % de las consultas a 1.1.1.1 llegan mediante UDP, lo que convierte la medición de las respuestas más grandes y los reintentos mediante TCP en una parte importante de la prueba operativa.
Sin embargo, activar la validación en el resolutor no crea una cadena de confianza poscuántica completa. Los servidores authoritative deben admitir la firma de las zonas, los registradores deben aceptar los registros DS adecuados y estos deben publicarse en las zonas padre, hasta llegar a la raíz del DNS. Cualquier nivel que carezca de protección poscuántica sigue siendo un posible punto de degradación.
La lectura de certi.news
El valor principal de este anuncio no es añadir una opción para el usuario final, sino trasladar ML-DSA-44 de un estándar criptográfico a una prueba operativa a gran escala. El problema que revela Cloudflare es doble: transportar mensajes mucho más grandes de lo habitual y mantener la rigurosidad de la validación mientras los algoritmos antiguos sigan presentes durante años. Las preguntas abiertas siguen relacionadas con la velocidad de adopción del algoritmo en toda la cadena DNS y con la medición del coste de ancho de banda y del aumento del uso de TCP. Cloudflare tiene previsto añadir posteriormente compatibilidad con la firma ML-DSA-44 en Cloudflare Authoritative DNS y compatibilidad con registros DS en Cloudflare Registrar de forma gratuita para sus clientes, lo que permitirá probar la ruta completa.