1.1.1.1现在验证使用ML-DSA-44制作的DNSSEC签名， ML-DSA-44是由美国国家标准与技术研究院（ NIST ）标准化的后量子签名算法。这是为今天的签名算法不再安全的未来做好DNSSEC准备的第一步。Cloudflare计划到2029年实现全面的后量子安全。
到目前为止，大部分工作都集中在TLS上，但公钥加密被用于许多其他系统，包括DNSSEC。虽然我们于2019年开始在TLS中试验后量子密钥协议，并在2022年为所有客户提供支持，但后量子签名尚未在DNSSEC中接受可比测试。还有一些紧迫性。
客户端广泛采用后量子TLS需要数年时间，部分原因是较大的消息暴露了现有网络软件中的假设和错误。这一经验表明了为什么早期的大规模测试很重要。我们不能等到量子计算机成为直接威胁。问题是后量子签名很大。
每个ML-DSA-44签名为2,420个字节，在响应包括其他任何内容之前超过了常见的DNS-over- UDP限制。同时，区域需要为较旧的解析器发布多年的传统签名，如果验证不正确，则会创建潜在的降级路径。挑战在于可靠地承载这些更大的响应，而不允许与较旧的解析器兼容，从而削弱对较新解析器的保护。
启用ML-DSA-44验证后， 1.1.1.1允许我们在互联网规模上测试两个挑战：承载更大的DNS响应和防止回退到传统签名。默认情况下不会对DNS响应进行身份验证。可以伪造响应的攻击者可能能够将用户重定向到他们选择的地址。DNSSEC通过对DNS记录进行签名来防止这种情况。