1.1.1.1 اکنون از DNSSEC پساکوانتومی پشتیبانی می‌کند — تمام ۲۴۲۰ بایت آن
Cloudflare اعلام کرده سرویس DNS عمومی 1.1.1.1 اعتبارسنجی امضاهای DNSSEC را با الگوریتم پساکوانتومی NIST، ML-DSA-44 انجام می‌دهد و تدابیری برای مدیریت امضاهای ۲۴۲۰ بایتی و خطرات downgrade در مقیاس پیاده‌سازی کرده است. اطلاعات این نوشته بر اساس مطلب اصلی در Cloudflare Blog است.
خلاصه خبر (بر اساس منبع اصلی):
Cloudflare اعلام کرده که 1.1.1.1 اکنون امضاهای DNSSEC را با استفاده از الگوریتم پساکوانتومی مورد تأیید NIST، ML-DSA-44، اعتبارسنجی می‌کند. این امضاها تا ۲۴۲۰ بایت طول دارند و Cloudflare توضیح می‌دهد چگونه اندازه بزرگ امضاها و مخاطرات downgrade را در سطح یک resolver عمومی مدیریت می‌کند. اطلاعات این بخش براساس مطلب اصلی در Cloudflare Blog است.
توضیح مختصر فنی و پیامدها (خلاصه تحلیلی مستقل):
- ورود الگوریتم‌های پساکوانتومی مانند ML-DSA-44 به مسیر اعتبارسنجی DNSSEC گامی مهم در آماده‌سازی اکوسیستم DNS برای تهدیدات کوانتومی است.
- امضاهای بسیار بزرگ (در این مورد تا ۲۴۲۰ بایت) می‌توانند پیامدهای عملیاتی داشته باشند، از جمله افزایش احتمال fragmentation، نیاز به fallback به TCP، و تعامل با محدودیت‌های MTU و برخی تجهیزات شبکه یا فایروال‌ها.
- افزون بر ملاحظات عملکردی، بزرگ‌شدن امضاها ریسک‌های پیچیده‌تری نیز ایجاد می‌کند، مثلاً سناریوهای downgrade که می‌تواند به حملات میانی یا عدم اعتبارسنجی منجر شود؛ مدیریت این ریسک‌ها در مقیاس یک resolver عمومی نیازمند سازوکارهای سازگار با عملیات روزمره و همزمان حفظ امنیت است.
- راه‌اندازی عملیاتی این نوع الگوریتم‌ها توسط بازیگران بزرگی مثل Cloudflare می‌تواند به شتاب‌گیری پذیرش پساکوانتومی در سایر ارائه‌دهندگان DNS و نرم‌افزارهای مرتبط کمک کند، اما نیاز به آزمایش، سنجش سازگاری و گزارش‌دهی مشکلات بین‌سازمانی دارد.
جمع‌بندی: طبق گزارش Cloudflare، 1.1.1.1 اکنون از ML-DSA-44 برای اعتبارسنجی DNSSEC استفاده می‌کند و به نحوی سازوکارهایی برای رسیدگی به امضاهای ۲۴۲۰ بایتی و خطرات downgrade پیاده کرده است. نتایج عملیاتی و سازگاری در شبکه‌های مختلف باید رصد شود تا اطمینان حاصل شود که مهاجرت به الگوریتم‌های پساکوانتومی بدون ایجاد پیامدهای غیرمنتظره انجام می‌شود. اطلاعات این متن بر اساس مطلب اصلی در Cloudflare Blog است.