İnternetin adres defteri olarak bildiğimiz DNS, bir alan adını IP adresine çevirir; fakat varsayılan DNS cevabı kendi başına “bu cevap gerçekten yetkili kaynaktan geldi” kanıtı taşımaz. DNSSEC bu boşluğu dijital imzalarla kapatır. Cloudflare, 10 Eylül 2026’da 1.1.1.1 çözümleyicisinin NIST tarafından standartlaştırılan post-kuantum ML-DSA-44 imzalarını doğrulamaya başladığını açıkladı.

Değişikliğin görünmeyen tarafı boyut: tek bir ML-DSA-44 imzası 2.420 bayt. Cloudflare’ın test çıktısında DNS’in yaygın 1.232 baytlık UDP sınırı aşılıyor ve yanıt TCP üzerinden yeniden isteniyor. Bu nedenle gelişme yalnız “daha güçlü algoritma” haberi değil; ağ cihazlarının, güvenlik duvarlarının ve çözümleyicilerin büyük imzaları güvenilir biçimde taşıyıp taşıyamadığını sınayan gerçek dünya deneyi.

DNSSEC neyi korur, neyi korumaz?

DNSSEC, cevabın imzalı zincirini kök bölgeden alan adına kadar doğrular. Araya giren biri sahte IP adresi döndürürse doğrulayıcı çözümleyici imzanın uyuşmadığını görür. Ancak DNSSEC sorgunun içeriğini gizlemez; gizlilik için DNS over HTTPS veya DNS over TLS gibi ayrı taşıma yöntemleri gerekir. Bu ayrım, “post-kuantum DNSSEC kullanınca DNS trafiğim şifrelendi” sonucuna atlamamak için önemlidir.

Cloudflare ayrıca kuantum bilgisayarların bugün bu saldırıları yapacak kapasitede olmadığını açıkça belirtiyor. DNSSEC, saklanmış şifreli verinin gelecekte çözülmesi anlamındaki “şimdi topla, sonra çöz” riskinden ziyade gelecekte sahte imza üretme riskine hazırlanıyor. Erken başlanmasının nedeni; kayıt operatörü, alan adı kayıt kuruluşu, yetkili DNS ve çözümleyicinin aynı zincirde uyum sağlamasının yıllar alabilmesi.

2.420 bayt neden operasyon sorunu çıkarıyor?

Klasik DNS çoğunlukla UDP ile hızlı bir istek-cevap akışı kullanır. Büyük yanıt parçalanabilir ya da “yanıt kesildi” işaretiyle TCP’ye taşınabilir. Eski güvenlik duvarları, yanlış ayarlanmış NAT cihazları veya 53 numaralı portta TCP’yi engelleyen ağlar bu geçişi bozabilir. Sonuçta kriptografi doğru çalışsa bile kullanıcı alan adına erişemez.

Geçiş döneminde alan adları eski çözümleyiciler için geleneksel imzaları da yayımlamak zorunda kalabilir. Yeni çözümleyicinin büyük post-kuantum imza başarısız olduğunda sessizce eski imzaya dönmesi ise düşürme saldırısı alanı yaratır. Cloudflare’ın vurguladığı iki test bu yüzden birlikte yürütülüyor: büyük yanıtı taşımak ve desteklenen güçlü algoritmadan zayıf olana izinsiz dönüşü engellemek.

Boyut artışının başka bir etkisi de ölçüm maliyetidir. Daha fazla TCP bağlantısı, çözümleyici ile yetkili sunucu arasında ek gidiş-dönüş ve durum takibi demektir. Bu her kullanıcı için hissedilir yavaşlık yaratacak diye bir sonuç yok; fakat p95 ve p99 DNS süresini izleyen ekiplerin ortalama değerin yanında TCP oranını da grafiğe eklemesi gerekir. Güvenlik değişikliği performans verisiyle birlikte değerlendirilmelidir.

1.1.1.1 kullanıcısı ne yapmalı?

Cloudflare’a göre son kullanıcıların ayar değiştirmesi gerekmiyor. Bir alan adı gerekli ML-DSA-44 kayıtlarını yayımladığında 1.1.1.1 doğrulamayı otomatik yapıyor; mevcut DNSSEC bölgeleri eskisi gibi çalışmayı sürdürüyor. Bu, bugün her sitenin post-kuantum DNSSEC ile imzalandığı anlamına gelmiyor. Cloudflare’ın sıradaki adımı yetkili DNS’de ML-DSA-44 imzalama ve kayıt şirketinde ilgili DS kaydı desteği.

Android’de 1.1.1.1’i Özel DNS olarak kullanıyorsanız DoT bağlantı testini ayrıca yapabilirsiniz. Özel DNS taşıma gizliliğini, DNSSEC ise cevap bütünlüğünü hedefler; biri diğerinin yerine geçmez.

Post-kuantum DNSSEC’i nasıl test edersiniz?

Komut satırında doğrulama

Cloudflare, test için valid.mldsa44.dnstest.dev alanını yayımladı. dig bulunan bir sistemde şu sorguyu çalıştırın:

dig @1.1.1.1 valid.mldsa44.dnstest.dev +dnssec

Çıktıda önce UDP yanıtının kesildiğini ve TCP ile yeniden denendiğini belirten uyarıyı görebilirsiniz. Başlık bölümündeki ad bayrağı doğrulayıcının imzalı cevabı güvenli kabul ettiğini gösterir. Yalnız NOERROR görmek yeterli değildir; taşıma türünü, ad bayrağını ve toplam yanıt boyutunu birlikte kaydedin.

Dört ağda karşılaştırma

  • Ev internetinde kablolu veya Wi‑Fi bağlantıyla sorguyu çalıştırın.
  • Telefonun mobil verisinde aynı testi tekrarlayın.
  • Kurumsal VPN açık ve kapalı durumları karşılaştırın.
  • Kurumsal DNS kullanılıyorsa sorguyu hem o çözümleyiciye hem 1.1.1.1’e yöneltin.
  • UDP kesilip TCP başarılı oluyorsa gecikmeyi; ikisi de başarısızsa güvenlik duvarı kaydını saklayın.

Türkiye’de ISS modemleri ve kurumsal ağ cihazları farklı davranabildiği için tek bağlantıda alınan sonuç genellenmemeli. Özellikle DNS filtreleme ürünü kullanan işletmeler, büyük DNSSEC yanıtını ve TCP/53 geçişini üretici desteğiyle doğrulamalı. Alan adı sahibiyseniz CAA kaydıyla sertifika yetkilendirmesini de ayrı kontrol edin; CAA, DNSSEC’in sağladığı imza doğrulamasını yerine getirmez.

Hatalı sonucu nasıl ayırırsınız?

Test alanı 1.1.1.1’de çalışıp şirket çözümleyicisinde çalışmıyorsa önce çözümleyici yazılımı ve güvenlik duvarını inceleyin. İki tarafta da sonuç yoksa istemci aracını, VPN’i ve ağın TCP/53 politikasını kontrol edin. Yalnız tarayıcıda sayfanın açılması, post-kuantum imzanın doğrulandığını kanıtlamaz; tarayıcı farklı bir çözümleyici veya önbellek kullanabilir.

Test kaydına tarih, ağ adı, çözümleyici IP’si, dig sürümü, yanıt boyutu ve süreyi ekleyin. Böylece modem yazılımı ya da kurumsal politika değiştiğinde aynı koşulu yeniden karşılaştırabilirsiniz.

Bugün alınacak karar

Bu duyuru, “kuantuma dayanıklı internet tamamlandı” demiyor. 1.1.1.1 çözümleyici tarafında yeni algoritmayı doğruluyor ve ekosistemin gerçek ağlarda nerede kırıldığını ölçüyor. Kullanıcı için ayar değişikliği yok; ağ yöneticisi için ise büyük imza, TCP geri dönüşü ve düşürme davranışını şimdiden test etme fırsatı var. Geleceğin kriptografisi ancak bugünün modeminden sorunsuz geçebiliyorsa işe yarar.

Kaynak: Cloudflare, “1.1.1.1 now supports post-quantum DNSSEC, all 2,420 bytes of it”, 10 Eylül 2026.