Cloudflare включил поддержку ML-DSA-44 в своих резолверах: каждый такой DNSSEC-сигнатурный блок весит 2420 байт — в 38 раз больше ECDSA P-256. Resolver 1.1.1.1 теперь проверяет постквантовые подписи, не позволяя откатываться на классические алгоритмы. Цель — полная постквантовая защита DNS к 2029 году.
В свежем релизе rustls включены по умолчанию ML-DSA-сертификаты для провайдера aws-lc-rs. ML-DSA (Module-Lattice-Based Digital Signature Algorithm) пока нельзя использовать в публичном Web PKI — только в частных иерархиях. Заодно SSL key log файл теперь имеет права только на чтение владельцем.
В OpenSSH 10.4 добавили экспериментальную composite post-quantum подпись: ML-DSA 44 вместе с Ed25519, как в IETF draft. Ещё любопытнее, что сборка с sandbox теперь падает на Linux, если не включены SECCOMP или NO_NEW_PRIVS — то есть сначала настрой ОС, потом уже жалуйся на ssh.