要約

  • Cloudflareの1.1.1.1は2026年9月10日から、テスト用ゾーンのML-DSA-44署名を全クライアント向けに検証できる状態だった。Joe AbleyはRIPE 93でブラウザーを使ったDNSSEC試験を紹介した。
  • 検証するリゾルバーでは、二重署名と従来方式の対照との差が中央値で+1ミリ秒、p99で+1,405ミリ秒。スライドは集計結果をnet breakage 6.0％と記す。初期のノイズを含む試験であり、全利用者の故障率を示す数字ではない。

中央値は静かでも、裾は長い

アップグレードの告知に大きく載せやすいのは、中央値の1ミリ秒だ。Joe AbleyがRIPE 93で示したもう一つの数字は、告知の小さな注記に追いやられそうなp99の1,405ミリ秒だった。分布の遅い端では、一部の利用者が待つあいだに、大半の速い応答が平均を整えてしまう。

RIPE 93の原スライドは、検証するリゾルバーについて、二重署名の経過時間からアルゴリズム13の対照を引いている。差は中央値+1ミリ秒、p90 +147ミリ秒、p95 +618ミリ秒、p99 +1,405ミリ秒。暗号検証だけを測った値ではなく、ブラウザー試験全体の経過時間差だ。対照用には、意図的に壊したアルゴリズム13署名と通常の対照との差も示され、各百分位で0、+73、+215、+1,132ミリ秒だった。

試験は1,000人に1人の割合でブラウザー課題を表示し、約14万のデータ点を集めた。Cloudflareが提供するDNS名に対し、アルゴリズム13の対照、意図的に壊した13署名、アルゴリズム18のML-DSA-44、13と18の二重署名という四つのHTTPS取得を並行して走らせた。19枚目のスライドは検証するリゾルバーの集計結果をnet breakage 6.0％と表示する。Ableyによれば、約20のASで故障が明確に増えた一方、観測したASの大半では差がなかった。発表は個々の失敗原因までは特定していない。

新しい署名が従来の逃げ道をふさぐ

1.1.1.1が9月10日から全クライアント向けにML-DSA-44検証を有効にしていたため、この試験ができた。ただし対象はテストゾーンであり、量子耐性署名を顧客向けに販売開始した話ではない。IANAの登録簿ではアルゴリズム18がML-DSA-44で、署名・検証ともMAY。アルゴリズム13のECDSA P-256/SHA-256はRECOMMENDEDだ。

通常のDNSSECでは、対象RRsetを覆うRRSIGのどれか一つが有効なら、リゾルバーは受理できる。RFC 6840は有効な署名を受け入れるべきとし、すべてが失敗した場合に限りRRsetをbogusとする。RFC 4035は衝突時の扱いをローカルのセキュリティーポリシーに委ねる。Cloudflareのより厳格な量子耐性ルールは、その逃げ道を閉じる。アルゴリズム18の署名が含まれるなら、それ自体の検証が必要だ。アルゴリズム13が有効でも、壊れたML-DSA-44署名の代わりにはならない。量子耐性への更新を古典署名への静かな格下げに変えないためだ。

その保護策は、新しい署名を可用性の条件にもする。形式の誤った署名があれば、古典署名だけなら認証できた回答まで拒否されることがある。これはリゾルバーのローカル方針であり、DNSSECの基礎プロトコルを変更する話ではない。

ブラウザー試験は無菌室ではない

Ableyは結果を非常に初期でノイズが多いと説明した。同じDNS名を繰り返し使ったため、キャッシュが比較に影響しうる。試験はキャッシュを避けていなかった。HTTPSのリダイレクトが時間を足し、早く課題を終えた利用者は測定終了前に離れることがあり、2秒のタイムアウトは遅い要求を切った。家庭のネットワークやブラウザー環境も揺らぎを持ち込んだ。スライドが示すのは追跡すべき兆候であって、すべての失敗をML-DSA検証のせいにする因果表ではない。

導入判断はまだ決まっていなかった。CloudflareはオンラインのML-DSA-44署名を試している段階で、顧客向け提供時期を示していない。コンプライアンス要件からオプトイン需要が生まれる可能性はあるが、デフォルトで二重署名するには、サービスを壊さないという高い確信が要る。Ableyの個人Internet-Draftは、リゾルバーの厳格なローカル方針による拒否を、説明のない否定応答と区別するExtended DNS Errorを提案している。

キャッシュを回避し、無作為化し、リゾルバー側の追跡情報を伴う再試験なら、DNS検証の失敗をリダイレクト、ブラウザー離脱、タイムアウトから分けられる。導入判断を変えるのはその証拠だ。今見えている形は、中間がほぼ平坦で裾が急に伸び、そして方針が新署名の検証を必須にする構図である。

出典