DNSSEC e minaccia quantistica: ICANN accelera sulla crittografia post-quantistica
Il CTO di ICANN John Crain prevede tempi più stretti per rendere il DNS resistente ai computer quantistici. Il nodo principale sono le chiavi più grandi e il passaggio da UDP a TCP.
- ICANN accelera il lavoro per rendere DNSSEC resistente ai computer quantistici
- Il CTO Crain stima 3-5 anni, non più dieci, per essere pronti
- Chiavi più grandi implicano pacchetti maggiori e passaggio da UDP a TCP
- I gTLD Category 1 (.bank, .doctor) hanno il 45% di rischio abuso in più
Gli enti che governano Internet stanno per accelerare il lavoro sulla messa in sicurezza del DNS contro i futuri computer quantistici. Lo ha dichiarato a The Register John Crain, chief technology officer di ICANN, durante la conferenza annuale dell’organizzazione a Bali, la scorsa settimana.
Il rischio per DNSSEC
Secondo la fonte, i computer quantistici commerciali capaci di decifrare facilmente dati cifrati rappresentano un rischio teorico per DNSSEC. Sono le Domain Name System Security Extensions, che applicano la PKI alla verifica dell’autenticità dei record DNS.
Crain ha detto di conoscere le previsioni secondo cui queste macchine potrebbero arrivare «at the turn of the decade». Per questo ha cambiato la sua valutazione dei tempi. Anni fa avrebbe indicato dieci anni per essere pronti. Oggi, ha spiegato, «probably not ten»: potrebbero essere tre o cinque, anche se non sa dire con precisione.
Chiavi più grandi, pacchetti più grandi
Una strada per rendere DNSSEC a prova di quantistico è usare chiavi più lunghe, difficili da violare anche per un computer quantistico. Il problema è che il DNS ha limiti sulle dimensioni dei messaggi. Chiavi maggiori significano zone, pacchetti e risposte più grandi. Il traffico potrebbe quindi dover passare da singoli messaggi UDP, preferiti dal DNS, a più pacchetti TCP.
ICANN, IETF e altri organismi conoscono la difficoltà e hanno avviato un lavoro preliminare. Secondo Crain servirà qualche anno per essere pronti al passaggio da UDP a TCP e per un dispiegamento prevedibile. «We’re going to ramp up the speed of development», ha aggiunto.
Riforma dei registri regionali: ICP-2
A Bali The Register ha incontrato anche Jia-Rong Low, presidente della Number Resource Organization (NRO), l’organismo che riunisce i cinque registri regionali (RIR): AFRINIC, APNIC, ARIN, LACNIC e RIPE NCC. Si è parlato dell’Internet Coordination Policy 2 (ICP-2), il documento che disciplina i RIR. Oggi descrive solo la nascita di un nuovo registro.
Dopo le difficoltà di AFRINIC, che hanno fatto ipotizzare il fallimento del registro africano, la NRO ha deciso di estendere ICP-2 all’intero ciclo di vita di un RIR. La bozza raccomandata prevede quattro fasi: riconoscimento, audit, operazioni di continuità di emergenza e derecognition. Le ultime tre sono nuove e danno a ICANN un ruolo importante come supervisore indipendente. Low spera in un testo finale da rivedere entro la fine del 2026, con attuazione poco dopo.
Domini che sembrano affidabili
Siôn Lloyd, principal security, stability and resiliency scientist di ICANN, ha presentato un’analisi sugli abusi. I gTLD di «Category 1» sono legati a settori regolamentati, come .bank, .doctor e .university, oppure richiedono salvaguardie particolari. Hanno una probabilità di abuso più alta del 45% rispetto agli altri domini, ma sono meno soggetti a volumi elevati di abusi.
ICANN lavora a due policy. La PDP1 imporrà ai registrar azioni aggiuntive contro i titolari di domini che facilitano gli abusi. La PDP2 regolerà la registrazione automatizzata dei domini.
Fonte: theregister · Foto: theregister
