🔐Квантовый щит для DNSSEC учится передавать тяжёлые байты
🔐Квантовый щит для DNSSEC учится передавать тяжёлые байты Публичный DNS-резолвер Cloudflare 1.1.1.1 начал проверять подписи DNSSEC на базе постквантового алгоритма ML-DSA-44, стандартизированного институтом NIST. Организация IANA присвоила этому алгоритму номер 18 в реестре DNSSEC. В отличие от протоколов шифрования, где опасен перехват трафика с прицелом на будущую расшифровку, система DNSSEC отвечает за подлинность записей, поэтому появление мощного квантового компьютера создаст угрозу подделки ответов по всей мировой цепочке доверия. Основная сложность внедрения связана с размером криптографических данных, ведь одна подпись ML-DSA-44 занимает 2420 байт, что почти в 38 раз больше классической подписи ECDSA P-256. Такой объём значительно превышает стандартный безопасный предел полезной нагрузки UDP в 1232 байта и не позволяет доставить ответ без фрагментации сетевых пакетов. По этой причине авторитетные серверы вынуждены возвращать сигнал об усечении ответа, а резолвер повторяет запрос и получает громоздкие криптографические ключи уже через надёжный протокол TCP. Для переходного периода разработчики предусмотрели защиту от атак с принудительным понижением версии, когда злоумышленник пытается удалить новый алгоритм и подсунуть уязвимую классическую подпись. Если родительская зона подтверждает наличие постквантового алгоритма через DS-запись, резолвер 1.1.1.1 требует обязательной успешной проверки именно по цепочке ML-DSA-44 и полностью блокирует откат к старым алгоритмам. Пользователям резолвера не требуется менять настройки, а следующим шагом компании станет внедрение подписи ML-DSA-44 в авторитетные серверы и регистратор доменов Cloudflare. ✋ @Russian_OSINT