DNS server od Cloudflare pridal podporu DNSSEC odolného kvantovým počítačom

Značky: kvantové počítačebezpečnosť

DSL.sk, 15.9.2026

Spoločnosť Cloudflare pridala do svojej populárnej služby rekurzívneho DNS servera poskytovanej na adrese 1.1.1.1 podporu DNSSEC podpisov, ktoré majú byť odolné kvantovým počítačom.

Cloudflare o tom informuje v tomto oznámení.

Technológia DNSSEC zvyšuje bezpečnosť DNS tým, že umožňuje DNS záznamy digitálne podpisovať a overiteľné podpisy zasielať spolu s DNS odpoveďou. DNS klient respektíve rekurzívny DNS server prekladajúci domény na IP adresy tak môže bezpečne overiť, že odpoveď pochádza z oficiálneho DNS servera pre doménu a nebola žiadnym spôsobom podvrhnutá.

Rovnako ako iné oblasti kryptogragie aj DNSSEC v súčasnosti využíva asymetrické algoritmy RSA a ECDSA, ktoré majú byť budúce kvantové počítače schopné prelomiť. Cloudflare tak u svojho DNS začala u DNSSEC odpovedí DNS serverov pre domény podporovať aj overovanie podpisov postkvantovým algoritmom ML-DSA-44, ktorý má byť odolný budúcim kvantovým počítačom. ML-DSA bol pred dvomi rokmi štandardizovaný americkým štandardizačným úradom NIST.

Problémom nasadenia ML-DSA-44 je ale veľká veľkosť podpisov týmto algoritmom, 2420 bajtov. Do UDP paketov typicky používaných pre DNS sa tak nezmestí ani jeden takýto podpis a používa sa tak komunikácia cez TCP.

Hoci kvantové počítače schopné prelomiť doterajšie asymetrické kryptografické algoritmy zatiaľ nie sú k dispozícii, v prípade šifrovania môžu útočníci šifrované dáta odchytávať, ukladať a dešifrovať ich v budúcnosti po dostuposti kvantových počítačov s potrebnými vlastnosťami. V prípade šifrovania tak začali jednotlivé služby a softvéry podporovať postkvantové algoritmy už v predchádzajúcich rokoch.

V prípade podpisovania vrátane DNSSEC podpisov bude potrebné mať nasadené postkvantové algoritmy až v čase dostupnosti kvantových počítačov. U DNSSEC musia byť postkvantové algoritmy pre ich celkové nasadenie podporované samozrejme aj v DNS serveroch pre jednotlivé zóny vrátane root zóny, správcami domén najvyššej úrovne a registrátormi. Cloudflare k nasadeniu podpory postkvantových DNSSEC podpisov v jej rekurzívnom DNS pristúpila už teraz, ako prvý krok a aby sa získali reálne skúsenosti s ich nasadením.

V oznámení ako ďalší krok avizuje pridanie podpory ML-DSA-44 DNSSEC podpisov aj do jej DNS služieb pre zákazníkov cloudovej CDN služby, pričom podpora bude k dispozícii pre všetkých zákazníkov bezplatne. Kedy by k tomu malo prísť, zatiaľ neoznámila.


Najnovšie články:



Diskusia:

Pridať komentár