Cloudflare 1.1.1.1 率先支持后量子 DNSSEC,单签名达 2420 字节
Cloudflare Blog · rss · 2026-09-10
Cloudflare 宣布其 1.1.1.1 解析器已支持验证基于 NIST 后量子签名算法 ML-DSA-44 的 DNSSEC 签名,是 DNS 体系迈向后量子安全的第一步,目标 2029 年实现全面后量子安全。
为什么现在做
- 现有 DNSSEC 算法(RSA/ECDSA)在未来量子计算机面前不堪一击;若根区签名密钥被量子算法破解,攻击者可伪造整个 DNS 层级的验证路径——"破一次,伪造一切"。
- DNSSEC 提供真实性而非机密性,不存在"先截获后解密"风险,但算法迁移需协调权威服务器、注册局、注册商和验证解析器,周期极长,必须提前启动。
核心工程挑战
- 签名太大:ML-DSA-44 签名 2,420 字节,是 ECDSA P-256(64 字节)的约 38 倍,单独就超过 DNS-over-UDP 常见限制(1,2321,400 字节),需截断响应并回退到 TCP。约 85% 对 1.1.1.1 的查询走 UDP。
- 降级攻击风险:过渡期区域内需同时发布传统与后量子密钥以兼容旧解析器,但 RFC 6840 允许验证器接受任一有效路径,攻击者可伪造 ECDSA 答案实现降级。1.1.1.1 通过父区 DS 记录识别后量子算法信号,并施加本地更严格策略:必须至少有一条 ML-DSA-44 验证路径通过,传统路径不再充分。
「Infra」频道最新
- Anthropic S-1:每 1 美元收入烧 48 美分算力成本 — nmasc_ · 2026-10-26
- Persistent AI 入驻 UR 网络，隐私推理流量全程加密 — 0xSammy · 2026-10-26
- Anthropic 算力承诺曝光：Google 至少 1145 亿美元居首 — BenBajarin · 2026-10-26
- SpaceX 与 Apollo 达成 400 亿美元 AI 芯片与数据中心硬件租赁协议 — Polymarket · 2026-10-26
- Diamandis 盘点：SpaceX AI 业务年增 830%，Claude 64 小时设计 31.8 万抗毒蛋白 — PeterDiamandis · 2026-10-26
- Meta 拟发售至多 950 亿美元股票为 AI 基建输血 — The Decoder · 2026-10-26