注目★★★★★Cloudflare
1.1.1.1、2,420バイトの耐量子DNSSEC検証に対応
30秒で把握
- 1Cloudflare が 1.1.1.1 で ML-DSA-44 の DNSSEC 検証を開始
- 2署名 2,420 バイト・ECDSA P-256 の約 38 倍で TCP 再試行
- 3従来署名へのダウングレードを防ぐ検証ポリシーを導入
要約
Cloudflareは1.1.1.1で、NIST標準の耐量子署名アルゴリズムML-DSA-44によるDNSSEC署名の検証を開始した。ML-DSA-44の署名は2,420バイトで、従来のECDSA P-256の64バイトの約38倍に達するため、DNS応答はUDPで切り詰められ、通常はTCPへ再試行される。1.1.1.1は、従来方式と耐量子方式を併用する移行期に、従来署名へ戻るダウングレードを防ぐため、親ゾーンのDSレコードにML-DSA-44があれば耐量子の検証経路を必須にする。Cloudflareは2029年までの完全な耐量子化を計画している。
あなたへの影響
1.1.1.1の利用者に設定変更は不要だが、DNS基盤を運用するチームはML-DSA-44対応時のTCP再試行、帯域、権威DNS・レジストリ間の連携を近日中に検証したい。
推奨：署名サイズの増大で、UDP前提の実装や監視に想定外の影響が出る可能性があるため、耐量子DNSSEC対応が進む前に大容量応答を確認すべきだ。