Cloudflare 1.1.1.1 ora supporta DNSSEC post-quantum

Il resolver DNS pubblico di Cloudflare 1.1.1.1 ora supporta DNSSEC post-quantum utilizzando l'algoritmo ML-DSA-44, gestendo risposte di convalida da 2.420 byte. L'aggiornamento è stato annunciato il 10 settembre 2026 dagli ingegneri di Cloudflare Sebastiaan Neuteboom e Bas Westerbaan. DNSSEC è uno strato di sicurezza per il Domain Name System, la rubrica degli indirizzi di internet, che firma digitalmente le risposte DNS così che un utente possa essere certo di raggiungere il sito web reale e non uno falso. La crittografia post-quantum si riferisce ad algoritmi progettati per resistere agli attacchi dei futuri computer quantistici, che potrebbero violare molti dei metodi di cifratura e firma oggi ampiamente utilizzati.

DNSSEC funziona aggiungendo una firma digitale, un sigillo crittografico, a ogni record DNS. Quando un resolver come 1.1.1.1 cerca un dominio, verifica quella firma rispetto a chiavi crittografiche pubblicate. Se la firma corrisponde, la risposta è autentica; in caso contrario, il resolver la scarta. Le firme DNSSEC odierne si basano in gran parte su algoritmi classici come RSA e la crittografia a curva ellittica. Questi algoritmi sono considerati sicuri contro i computer attuali, ma sarebbero vulnerabili a un computer quantistico sufficientemente potente, che potrebbe risolvere i problemi matematici sottostanti molto più rapidamente. ML-DSA-44 è un algoritmo di firma digitale post-quantum progettato attorno a un problema matematico diverso, la crittografia basata sui reticoli, che si ritiene rimanga difficile anche per le macchine quantistiche. Convalidando i record DNSSEC firmati con ML-DSA-44, 1.1.1.1 estende la stessa protezione di autenticazione all'era in cui i grandi computer quantistici potrebbero diventare praticabili.

La dimensione indicata nell'annuncio, 2.420 byte, è significativa perché il DNS tradizionalmente funziona su messaggi piccoli e leggeri. Le risposte DNS legacy spesso rientrano nei 512 byte, e persino le risposte UDP estese possono subire frammentazione quando diventano troppo grandi. I pacchetti DNS frammentati possono essere scartati dai middlebox, causare timeout o, in alcune configurazioni più vecchie, essere bloccati del tutto. Supportare una risposta DNSSEC post-quantum completa da 2.420 byte richiede quindi una gestione attenta nel resolver e attraverso le reti che trasportano il traffico DNS. La frase del titolo "tutti i suoi 2.420 byte" richiama l'attenzione su questa dimensione: non è un refuso né un errore di misurazione, ma la dimensione effettiva di una risposta che porta con sé la firma post-quantum più grande insieme alla sua prova crittografica.

Il blog di Cloudflare dice anche ai lettori che possono verificare se il loro resolver attuale è pronto per il post-quantum usando uno strumento intitolato "Is your DNS resolver post-quantum ready?". L'annuncio osserva che la comunità sta monitorando il supporto software di ML-DSA-44 su GitHub, il che significa che sviluppatori e operatori possono seguire quali software DNS, librerie e strumenti hanno aggiunto la capacità di firmare o convalidare con questo algoritmo. Questo è importante perché il supporto del solo resolver non basta: server DNS autoritativi, registrar di domini, provider di hosting e software client devono tutti, prima o poi, supportare DNSSEC post-quantum per una protezione end-to-end completa.

Per le organizzazioni che gestiscono i propri resolver DNS o amministrano nomi di dominio, l'aggiornamento è un segnale per iniziare a pianificare il DNSSEC post-quantum. I provider DNS autoritativi devono supportare la firma con ML-DSA-44, e i resolver ricorsivi devono convalidarla. Gli amministratori di rete dovrebbero verificare se il loro software DNS, i firewall e gli strumenti di monitoraggio possono gestire le dimensioni di risposta maggiori, perché una risposta DNSSEC da 2.420 byte può richiedere modifiche di configurazione per la dimensione massima del payload UDP o il fallback su TCP. L'attività di monitoraggio su GitHub menzionata da Cloudflare aiuta i team a vedere quali componenti sono pronti.

Per gli utenti quotidiani e le aziende, DNSSEC post-quantum è un aggiornamento silenzioso ma importante. La maggior parte delle persone non vede mai DNSSEC in azione; funziona in background ogni volta che un resolver compatibile controlla un dominio firmato. Senza la convalida DNSSEC, un attaccante che riesce a intercettare il traffico DNS potrebbe inviare una risposta falsificata e reindirizzare silenziosamente un utente verso un sito malevolo. DNSSEC post-quantum estende quella protezione affinché rimanga affidabile se i computer quantistici diventeranno capaci di violare le firme classiche. Scegliere un resolver che mantiene aggiornata la convalida DNSSEC e che supporta il trasporto cifrato per le query DNS riduce il rischio sia di spoofing sia di intercettazione. Per i lettori responsabili di domini o reti aziendali, un servizio DNS cifrato attento alla privacy come AEU DNS offre risoluzione DNS cifrata e convalida DNSSEC come parte di una configurazione rafforzata per la privacy e la sicurezza online, e scegliere un resolver che rimane allineato agli sviluppi post-quantum è un passo difensivo sensato.