Summary

  • يقترح Geoff Huston ومؤلفان معه أن يمسح المحلّل التكراري غير المتحقق من DNSSEC بت DO إذا جاءه الطلب الأصلي دون هذا البت.
  • رصدت APNIC Labs البت في 60.2% من 36.3 مليار طلب خلال أسبوع انتهى في 3 نوفمبر 2026. وتلزم المسوّدة المحلّل بتمييز الردود المخزنة دون أدلة DNSSEC وإعادة طلبها عند الحاجة.

قد يطلب محلّل DNS توقيعاً مشفّراً لا ينوي فحصه. يريد Geoff Huston حساب ثمن هذا الطلب قبل أن تكبّر خوارزميات ما بعد الكم حجم التوقيع. في تحليل APNIC، ظهر بت DNSSEC OK، أو DO، في 60.2% من 36.3 مليار طلب قاستها APNIC Labs خلال أسبوع انتهى في 3 نوفمبر. هذه عينة منصة القياس التابعة للمؤسسة.

تسجل صفحة فريق APNIC Huston كبير العلماء. وقد شارك Warren Kumari وPeter Thomassen في مسوّدة فردية لدى IETF: إذا كان المحلّل التكراري لا يتحقق من DNSSEC وتلقى طلباً بلا DO، يمسح البت من الطلب المرسل إلى الخادم صاحب السلطة. عندئذ يمكن للخادم حذف سجلات التوقيع، وربما تجنّب بعض الانتقال إلى TCP عند تضخم التوقيعات مستقبلاً.

لكن العبء ينتقل إلى الذاكرة المؤقتة. يجب حفظ معلومة أن الرد وصل دون أدلة DNSSEC. وإذا طلب عميل لاحق تلك الأدلة ببت DO، فلابد من سؤال الخادم صاحب السلطة مرة أخرى. يذكر المؤلفون زيادة محتملة في الطلبات وتعقيد التنفيذ، ويصفون النص بفكرة مطروحة للنقاش. ما زالت RFC 4035 تطلب من المحلّلات الواعية بالأمن ضبط DO.

بحث Huston سابقاً ما يحدث بعد رد DNS مبتور يستدعي TCP. أما هنا فيسأل من طلب الرد الضخم أصلاً. يحتاج الحكم إلى مقارنة حجم البيانات والاتصالات التي تُوفَّر بالطلبات الإضافية الناتجة عن التخزين المؤقت.