Cloudflare включила проверку подписей DNSSEC с использованием алгоритма ML-DSA-44 на публичном DNS-резолвере 1.1.1.1. Этот шаг направлен на проверку готовности системы доменных имён к этапу, на котором современные алгоритмы подписи могут стать взламываемыми с помощью мощных квантовых компьютеров. Компания заявляет, что это лишь начало более продолжительного перехода, а не полноценная реализация постквантовой безопасности DNSSEC.
Национальный институт стандартов и технологий США (NIST) включил алгоритм ML-DSA-44 в число стандартизованных алгоритмов, а IANA присвоила ему номер 18 среди алгоритмов DNSSEC. Cloudflare планирует достичь полной постквантовой безопасности к 2029 году, после того как значительная часть её предыдущей работы была сосредоточена на согласовании ключей в TLS.
Одна подпись больше обычного DNS-пакета
Главное практическое препятствие связано с размером подписи. Подпись ML-DSA-44 занимает 2 420 байт против 64 байт у подписи ECDSA P-256, а размер её открытого ключа составляет 1 312 байт. Таким образом, одна только подпись превышает распространённые ограничения для DNS-ответов по UDP — ещё до добавления записей, имён доменов, заголовков протокола и остальных записей DNSSEC.
DNS-реализации часто используют консервативное ограничение в 1 232 байта для UDP-пакетов, связанное с минимальным размером блока передачи IPv6. Если пакет оказывается недостаточным, авторитетный сервер должен вернуть усечённый ответ, побуждая резолвер повторить запрос по другому протоколу, обычно TCP, вместо ненадёжной фрагментации UDP. Особенно заметна эта проблема в ответах DNSKEY, содержащих ключи, необходимые для проверки зоны, и она может усилиться при одновременной публикации традиционных и постквантовых ключей либо во время ротации ключей.
Предотвращение отката к традиционной подписи
Традиционные алгоритмы нельзя немедленно отключить, поскольку устаревшие резолверы не смогут проверить зону, публикующую только ML-DSA-44. Однако сохранение обоих вариантов может открыть путь к понижению уровня безопасности: после того как традиционный алгоритм, например ECDSA, станет небезопасным в квантовой модели, злоумышленник сможет подделать ответ, опирающийся на него, несмотря на способность резолвера использовать ML-DSA-44.
Для противодействия этому 1.1.1.1 использует записи DS, опубликованные в родительской зоне. Если проверяемый набор DS содержит запись поддерживаемого постквантового алгоритма, Cloudflare применяет более строгую локальную политику проверки: должен существовать действительный путь проверки с использованием ML-DSA-44, а одного традиционного пути недостаточно. Компания поясняет, что это пока не стандартный механизм проверки DNSSEC, однако он опирается на полномочия локальной политики, предусмотренные RFC 4035.
Что меняется на практике?
Пользователям 1.1.1.1 не требуется ничего менять: проверка выполняется автоматически, когда зона публикует необходимые записи DNSSEC, а существующие зоны продолжают работать обычным образом. Cloudflare заявляет, что около 85% запросов к 1.1.1.1 поступает по UDP, поэтому измерение более крупных ответов и повторных попыток через TCP является важной частью эксплуатационного тестирования.
Однако включение проверки на резолвере не создаёт полноценной постквантовой цепочки доверия. Авторитетные серверы должны поддерживать подпись зон, регистраторы — принимать соответствующие записи DS, а реестры родительских зон — публиковать их вплоть до корневой зоны DNS. Любой уровень без постквантовой защиты остаётся потенциальной точкой для понижения уровня безопасности.
Мнение certi.news
Главная ценность этого объявления заключается не в добавлении пользовательской опции, а в переводе ML-DSA-44 из криптографического стандарта в широкомасштабный эксплуатационный тест. Проблема, которую выявляет Cloudflare, двойная: передача сообщений, значительно превышающих обычный размер, и сохранение строгости проверки в течение лет, пока старые алгоритмы продолжают использоваться. Открытые вопросы по-прежнему связаны со скоростью внедрения алгоритма по всей цепочке DNS, а также с измерением затрат на пропускную способность и увеличением использования TCP. В дальнейшем Cloudflare намерена добавить поддержку подписывания ML-DSA-44 в Cloudflare Authoritative DNS и бесплатно поддержать записи DS в Cloudflare Registrar для своих клиентов, что позволит протестировать полный путь.