Internet tăng tốc gia cố DNS trước nguy cơ từ máy tính lượng tử

Hệ thống tên miền, vốn giúp chuyển những địa chỉ dễ nhớ thành thông tin để máy tính tìm đến đúng máy chủ, đang đứng trước một cuộc nâng cấp bảo mật phức tạp. Tại hội nghị ICANN 87 ở Bali, Indonesia, nguy cơ từ máy tính lượng tử đã trở thành lời thúc giục các tổ chức quản trị Internet đẩy nhanh công tác chuẩn bị.

John Crain, Giám đốc công nghệ ICANN — tổ chức điều phối hệ thống định danh duy nhất trên Internet — cho biết ông đã thay đổi đánh giá về thời gian cần thiết để đưa DNS vào trạng thái an toàn trước các cuộc tấn công lượng tử. Nếu trước đây ông nghĩ cộng đồng có khoảng 10 năm, thì nay thời hạn có thể chỉ còn ba đến năm năm, dù chưa thể khẳng định chính xác.

Crain dẫn những dự báo cho rằng máy tính lượng tử đủ sức đe dọa các cơ chế mật mã hiện hành có thể xuất hiện vào khoảng thời điểm chuyển sang thập niên 2030. Đây vẫn là dự báo, không phải một mốc chắc chắn, nhưng đã đủ để khiến việc chuẩn bị trở nên cấp thiết hơn.

Một thành phần đáng lo ngại là DNSSEC, bộ phần mở rộng bảo mật giúp xác minh tính xác thực và toàn vẹn của dữ liệu DNS. Công nghệ này vận dụng cơ chế mật mã khóa công khai thuộc nền tảng PKI, tức hạ tầng dùng các cặp khóa và chữ ký số để thiết lập lòng tin. DNSSEC không có nhiệm vụ che giấu nội dung truy vấn; vai trò của nó là giúp phát hiện dữ liệu bị giả mạo hoặc sửa đổi.

Theo Crain, việc sử dụng khóa lớn hơn trong quá trình gia cố bảo mật đặt ra một trở ngại thực tế: dữ liệu vùng tên miền, gói tin và phản hồi DNS đều có thể phình to. Khả năng chống tấn công lượng tử còn phụ thuộc vào thuật toán được lựa chọn, chứ không đơn thuần là tăng kích thước khóa hiện có.

DNS thường ưu tiên UDP, phương thức truyền dữ liệu gọn nhẹ, không cần thiết lập kết nối trước. Khi phản hồi lớn hơn, hệ thống có thể phải chuyển sang TCP, giao thức truyền dữ liệu qua kết nối với cơ chế bảo đảm độ tin cậy, và sử dụng nhiều gói tin. Thay đổi này kéo theo yêu cầu về khả năng tương thích và vận hành trên quy mô Internet.

ICANN, Lực lượng Đặc nhiệm Kỹ thuật Internet (IETF), tổ chức xây dựng nhiều tiêu chuẩn kỹ thuật Internet, cùng các bên liên quan đã bắt đầu công việc sơ bộ. Crain nhận định vẫn cần vài năm để có thể triển khai một cách ổn định, có thể dự đoán được, đồng thời khẳng định tốc độ phát triển sẽ được đẩy lên.

Bên cạnh bảo mật DNS, hội nghị Bali còn bàn về việc sửa đổi ICP-2, văn bản quy định đối với các cơ quan đăng ký Internet khu vực, gọi tắt là RIR. Năm RIR trên thế giới phụ trách phân bổ và quản lý tài nguyên số Internet, trong đó có địa chỉ IP, tại từng khu vực.

Phiên bản ICP-2 hiện hành chủ yếu mô tả cách thành lập một RIR, nhưng chưa bao quát đầy đủ quá trình hoạt động và xử lý khủng hoảng. Những bất ổn tại AFRINIC, cơ quan phụ trách khu vực châu Phi, đã làm nổi bật khoảng trống này khi xuất hiện lo ngại tổ chức có thể không duy trì được hoạt động.

Bản sửa đổi xác định bốn giai đoạn: công nhận, kiểm toán, duy trì hoạt động khẩn cấp và thu hồi công nhận. Ba nội dung sau là phần bổ sung, đồng thời trao cho ICANN vai trò lớn hơn trong giám sát độc lập các RIR.

Jia-Rong Low, Chủ tịch Tổ chức Tài nguyên Số (NRO), cơ quan điều phối chung của năm RIR, cho biết dự thảo đã trải qua nhiều vòng tham vấn công khai và đạt trạng thái được đề xuất thông qua. Ông kỳ vọng văn bản cuối cùng sẽ sẵn sàng để xem xét trước cuối năm 2026, rồi có thể triển khai không lâu sau đó.

Một nghịch lý khác được nêu tại hội nghị: những đuôi tên miền tạo cảm giác uy tín lại có thể thu hút kẻ lừa đảo. ICANN xếp một số tên miền cấp cao dùng chung, hay gTLD — phần nằm sau dấu chấm cuối cùng của tên miền — vào nhóm cần biện pháp bảo vệ đặc biệt.

Nhóm này gồm các đuôi gắn với lĩnh vực chịu quản lý như .bank, .doctor và .university, cũng như những đuôi có nguy cơ bị dùng để quấy rối như .sucks. Kẻ lừa đảo có thể tìm cách đăng ký chúng nhằm khiến nạn nhân tin rằng trang web có thẩm quyền hoặc thuộc một tổ chức hợp pháp.

Theo Siôn Lloyd, nhà khoa học phụ trách an ninh, ổn định và khả năng chống chịu tại ICANN, nghiên cứu của tổ chức cho thấy các gTLD thuộc nhóm này có khả năng gặp lạm dụng cao hơn 45% so với các tên miền khác. Tuy nhiên, chúng lại ít có xu hướng xuất hiện lượng lạm dụng lớn. Hai kết quả phản ánh những khía cạnh khác nhau: nguy cơ bị nhắm tới và quy mô lạm dụng.

ICANN đang xây dựng chính sách PDP1 nhằm yêu cầu các nhà đăng ký tên miền có thêm hành động đối với chủ thể sở hữu tên miền tạo điều kiện cho lạm dụng. Một tiến trình khác, PDP2, tập trung vào quản lý việc đăng ký tên miền tự động.

Song song đó, đợt tiếp nhận hồ sơ gTLD mới được ghi nhận đang tiến triển thuận lợi. Các phiên thảo luận tại Bali tiếp tục nhắc đến mục tiêu tổ chức những đợt tiếp nhận thường xuyên hơn, theo lịch trình có thể dự đoán, cùng ý kiến xem đợt hiện tại là khuôn mẫu cho tương lai.

Từ phòng vệ trước máy tính lượng tử đến kiểm soát lạm dụng tên miền, thông điệp chung tại hội nghị là hạ tầng Internet phải đổi mới mà vẫn giữ được tính ổn định. Với DNS, thách thức đặc biệt nằm ở chỗ: một thay đổi bảo mật tưởng như chỉ liên quan đến khóa mật mã có thể kéo theo điều chỉnh cách dữ liệu được vận chuyển trên toàn mạng.