1.1.1.1が2,420バイトのポスト量子DNSSECをサポート開始
1.1.1.1 now supports post-quantum DNSSEC, all 2,420 bytes of it
Cloudflareは、DNSSEC署名アルゴリズムとしてNIST標準のML-DSA-44(ポスト量子暗号)の検証をDNSリゾルバ「1.1.1.1」で開始しました。これは、将来的に現在の署名アルゴリズムが安全でなくなることに備えるための第一歩です。ML-DSA-44署名は2,420バイトと大きいため、UDPのパケットサイズ制限を超える問題があり、従来の署名との互換性を保ちつつ、より大きな応答を確実に伝送することが課題です。Cloudflareは2029年までに完全なポスト量子セキュリティの実現を目指しており、今回の1.1.1.1での大規模テストを通じて、これらの課題への対処とエコシステム全体の運用経験の蓄積を図ります。ユーザーは何も変更する必要はなく、ML-DSA-44署名付きゾーンが公開されれば自動的に検証されます。今後はCloudflare Authoritative DNSおよびCloudflare RegistrarへのML-DSA-44署名サポートの追加も予定されています。
- CloudflareがDNSリゾルバ「1.1.1.1」で、NIST標準のポスト量子暗号署名アルゴリズムML-DSA-44の検証を開始した。
- ML-DSA-44署名は2,420バイトと大きく、UDPのパケットサイズ制限を超えるため、既存の署名アルゴリズムとの互換性を保ちつつ大きな応答を確実に伝送する課題がある。
- Cloudflareは2029年までに完全なポスト量子セキュリティの実現を目指しており、1.1.1.1での大規模テストでエコシステム全体の運用経験を蓄積する。
- ユーザー側の変更は不要で、ML-DSA-44署名付きゾーンが公開されれば自動的に検証される。今後、Cloudflare Authoritative DNSおよびCloudflare RegistrarへのML-DSA-44署名サポート追加も予定されている。
CloudflareがDNSリゾルバ「1.1.1.1」でNIST標準のポスト量子署名ML-DSA-44の検証を実運用環境で開始した点は、PQC移行が標準化・研究段階から実際のインターネット基盤インフラへの実装フェーズに入ったことを示す重要なシグナルです。署名サイズが2,420バイトと肥大化しUDPのパケット制限を超えるため、TC(切り詰め)やTCPフォールバック、応答伝送といった既存DNS運用との互換性課題が顕在化しており、今後はリゾルバ・認証DNS・レジストラ間のエコシステム対応が投資テーマになります。2029年までの完全なポスト量子セキュリティ目標や、Authoritative DNS・RegistrarへのML-DSA-44対応予定は、PQC関連ソフトウェア・ハードウェア・暗号ライブラリ需要のロードマップとして注目すべきです。