클라우드플레어(Cloudflare)의 공용 DNS 리졸버 1.1.1.1이 양자 컴퓨터의 위협에 대비해 포스트 양자(Post-Quantum) DNSSEC 서명 검증을 지원하기 시작했습니다. 이는 미래의 양자 컴퓨터가 현재의 암호화 체계를 무력화할 수 있다는 우려에 선제적으로 대응하기 위한 중요한 움직임입니다. 클라우드플레어는 2029년까지 모든 서비스에 걸쳐 완전한 포스트 양자 보안을 달성하겠다는 목표를 세웠습니다.
이번에 1.1.1.1에 적용된 알고리즘은 미국 국립표준기술연구소(NIST)가 표준화한 ML-DSA-44입니다. 이 알고리즘은 양자 컴퓨터 공격에도 안전한 것으로 알려져 있지만, 기존 암호화 방식에 비해 서명 및 공개 키 크기가 훨씬 크다는 특징이 있습니다. 예를 들어, ML-DSA-44 서명은 2,420바이트, 공개 키는 1,312바이트로, 기존 ECDSA P-256 서명(64바이트)보다 훨씬 큽니다. 이로 인해 전통적인 UDP 기반 DNS 패킷의 크기 제한(512바이트)을 초과하게 되어, 대형 응답 패킷 전송을 위해 TCP와 같은 다른 전송 프로토콜을 사용한 재시도가 필요해집니다. 현재 1.1.1.1로 유입되는 쿼리의 약 85%가 UDP를 통해 처리되고 있어, 이러한 변화는 네트워크 효율성에 영향을 미칠 수 있습니다. 클라우드플레어는 기존 알고리즘과 포스트 양자 알고리즘을 동시에 지원할 때 발생할 수 있는 다운그레이드 공격을 방지하기 위해, 부모 존(Parent Zone)에 포스트 양자 알고리즘이 포함된 경우에만 엄격한 검증을 적용하는 보안 조치를 마련했습니다.
이번 포스트 양자 DNSSEC 도입은 인터넷 인프라의 미래 보안을 강화하는 중요한 단계입니다. DNSSEC(Domain Name System Security Extensions)는 DNS 응답의 위변조를 막아 사용자가 올바른 웹사이트로 접속하도록 돕는 보안 기술입니다. 여기에 양자 내성 암호화를 적용함으로써, 미래의 강력한 양자 컴퓨터 공격으로부터 DNS 시스템의 무결성을 보호하고, 이는 결국 인터넷 전반의 신뢰도를 높이는 데 기여할 것입니다. IANA(Internet Assigned Numbers Authority)가 ML-DSA-44에 DNSSEC 알고리즘 번호 18번을 할당한 것도 이 기술의 중요성과 표준화 노력을 보여줍니다. 일반 사용자들은 `dig @1.1.1.1 valid.mldsa44.dnstest.dev +dnssec` 명령어를 통해 포스트 양자 DNSSEC 응답을 직접 확인해 볼 수 있습니다.