Bài viết này do AI tạo ra, có thể mắc sai sót.
Cloudflare công bố 1.1.1.1 đã xác thực DNSSEC bằng ML-DSA-44, thuật toán chữ ký hậu lượng tử do NIST chuẩn hóa. Đây là triển khai ở phía recursive resolver, nhằm lấy dữ liệu vận hành sớm trước khi máy tính lượng tử có năng lực phá RSA/ECDSA trở thành rủi ro thực tế. Cloudflare đặt mục tiêu an toàn hậu lượng tử toàn diện vào năm 2029.
ECDSA P-256 có chữ ký 64 byte, còn ML-DSA-44 là 2.420 byte, gần 38 lần lớn hơn; public key của ML-DSA-44 là 1.312 byte. Nhiều resolver dùng giới hạn UDP bảo thủ 1.232 byte, trong khi RFC 9715 khuyến nghị tối đa 1.400 byte cho DNS over UDP. Vì vậy câu trả lời lớn thường bị truncate và resolver phải retry TCP thay vì dựa vào UDP phân mảnh.
Zone sẽ phải công bố chữ ký cổ điển lẫn hậu lượng tử trong nhiều năm để resolver cũ tiếp tục hoạt động. Nhưng nếu resolver mới chấp nhận đường xác thực ECDSA khi đã hỗ trợ ML-DSA-44, kẻ tấn công trong tương lai có thể ép quay về thuật toán yếu hơn. Khi DS RRset được xác thực từ parent công bố thuật toán hậu lượng tử, 1.1.1.1 yêu cầu ít nhất một đường xác thực ML-DSA-44 hợp lệ; đường cổ điển đơn lẻ không đủ.
Resolver validation chỉ là một mắt xích. Authoritative DNS phải ký ML-DSA-44, registrar phải nhận DS record, registry phải công bố record ở parent zone và quá trình phải đi tới DNS root. IANA đã gán số thuật toán DNSSEC 18 cho ML-DSA-44, nhưng việc triển khai liên vùng sẽ kéo dài nhiều năm.
Người dùng 1.1.1.1 không phải làm gì; validation tự chạy khi zone công bố record cần thiết. DNS operator nên thử khả năng TCP fallback, kích thước DNSKEY/RRSIG, EDNS và firewall/path MTU. Cloudflare cho biết bước tiếp theo là hỗ trợ ký ML-DSA-44 trong Authoritative DNS và DS record ở Cloudflare Registrar.
Tin này đáng chú ý vì DNSSEC hậu lượng tử là bài toán mạng, không chỉ là thay crypto library. Chữ ký lớn ép hạ tầng xử lý thêm TCP, cache và timeout; triển khai song song lại tạo downgrade risk. Bật validation sớm trên recursive resolver quy mô lớn giúp phát hiện các điểm gãy trước khi migration thành bắt buộc.
Với hạ tầng tự quản lý, chưa cần đổi thuật toán hôm nay. Việc cần làm là lập inventory resolver/authoritative/registrar, kiểm tra hỗ trợ algorithm 18 và bảo đảm DNS qua TCP không bị chặn trên các đường mạng quan trọng.
Bài công bố kỹ thuật chính thức của Cloudflare ngày 10/9/2026. Không đặt liên kết nguồn ngoài trong nội dung công khai.
