Kurz und konkret, bevor es persönlich wird: Cloudflares öffentlicher DNS-Resolver 1.1.1.1 unterstützt jetzt die DNSSEC-Signaturprüfung mit ML-DSA-44, einem von NIST standardisierten Post-Quantum-Algorithmus, wie die Meldung auf blog.cloudflare.com erklärt. Und die 2.420 Bytes, die so eine Signatur laut der Überschrift der Quelle groß ist, macht der Resolver auch mit.
Ich hab da erst mal kurz an meinen ersten Abendeinsatz mit DNSSEC gedacht: „Signaturprüfung fehlgeschlagen“ auf dem Monitor, der Kaffee wird kalt, man starrt an. DNSSEC war schon immer so eine Doppelbelastung, technisch elegant und im Alltag zäh. Dass Post-Quantum jetzt an genau derselben Stelle andockt, finde ich deshalb beruhigender als spannend: dieselbe Infrastruktur, nur dickere Mathematik.
Und der Zeitplan steht direkt in der Meldung: Cloudflare will bis 2029 vollständige Post-Quantum-Sicherheit erreichen, um der Bedrohung durch Quantencomputer zuvorzukommen, wie die Quelle zusammenfasst. Das ist ein ehrgeiziges Zieljahr, aber keine Fantasie: Ein Resolver ist von allem, was im DNS so abläuft, das am leichtesten zentral zu ändern ist, weil am Ende nur ein paar große Anbieter hinter den meisten Haushalten stehen.
Das ist gut, aber noch längst nicht gut genug. ML-DSA-44 läuft jetzt bei einem Resolver mit, nicht im gesamten Namensraum: Damit Post-Quantum-DNSSEC wirklich überall greift, müssten Zonenbetreiber, Zwischen-Resolver und Bibliotheken nacheinander mitziehen, und genau diese Kettenreaktion braucht Zeit. Und 2.420 Bytes pro Signatur, wie die Quelle sie angibt, sind kein Bagatell, wenn man DNS-Pakete packt. Ob das Format auf dem Weg zum flächendeckenden Standard noch schlanker wird, weiß ich nicht, und genau das macht mich neugierig.
Und die eine Frage, die mir diese Meldung mitgibt: Schafft ML-DSA-44 es noch vor 2029 in die Resolver, die wirklich hinter den meisten Haushalten stehen, oder bleibt Post-Quantum-DNSSEC im Zweifel erst mal ein Feature der großen Anbieter wie Cloudflare?