1.1.1.1 bắt đầu hỗ trợ DNSSEC hậu lượng tử
"Cloudflare’s 1.1.1.1 now validates DNSSEC signatures using ML-DSA-44, a NIST-standardized post-quantum signature algorithm, as an early step toward post-quantum DNSSEC. The main impact is operational testing of much larger DNSSEC records, since ML-DSA-44 signatures are 2,420 bytes and can exceed common DNS-over-UDP limits, requiring truncation and fallback to TCP while maintaining compatibility with older resolvers."
Tăng khả năng chuẩn bị cho DNSSEC hậu lượng tử và giảm rủi ro dài hạn từ thuật toán chữ ký hiện tại; đồng thời cần chú ý nguy cơ tương thích khi bản ghi DNS lớn hơn.
Có thể ảnh hưởng đến hiệu năng truy vấn DNS và tỷ lệ fallback sang TCP; các đội vận hành cần chuẩn bị cho thay đổi cấu hình và kiểm thử tương thích.
Cloudflare cho biết 1.1.1.1 đã bắt đầu xác thực chữ ký DNSSEC bằng ML-DSA-44, một thuật toán chữ ký hậu lượng tử đã được NIST chuẩn hóa. Đây là bước thử nghiệm sớm nhằm chuẩn bị cho post-quantum DNSSEC, trong bối cảnh các thuật toán chữ ký hiện tại có thể không còn an toàn trước máy tính lượng tử trong tương lai.
Điểm đáng chú ý là chữ ký ML-DSA-44 có kích thước 2.420 byte, lớn hơn nhiều so với các cơ chế phổ biến như ECDSA P-256. Điều này có thể làm vượt các giới hạn thường gặp của DNS-over-UDP, khiến phản hồi DNS bị truncation và buộc trình phân giải chuyển sang TCP hoặc giao thức khác. Vì vậy, thay đổi này không chỉ là cập nhật thuật toán mà còn là bài kiểm tra khả năng vận hành của hạ tầng DNS với bản ghi lớn hơn.
Theo nội dung công bố, mục tiêu là thu thập kinh nghiệm triển khai ở quy mô Internet, đồng thời giữ tương thích với các trình phân giải cũ vẫn cần chữ ký truyền thống. Khuyến nghị kỹ thuật là các đội vận hành DNS nên kiểm tra giới hạn kích thước gói, theo dõi tỷ lệ fallback sang TCP, và đánh giá khả năng tương thích trước khi triển khai các cơ chế hậu lượng tử rộng hơn.