Ginevra Fabrizio: توفير 11 بايتاً لم يُصغّر إجابات NXDOMAIN

الخلاصة

في إعادة تشغيل ليوم من استعلامات .nl، بلغ وسيط توقيعات Falcon-512 غير المبطّنة 655 بايتاً، أي أقل بـ11 بايتاً من الحجم الثابت البالغ 666. لم يزد ذلك بوضوح عدد إجابات NOERROR الواقعة دون حدّي 1,232 و1,500 بايت.
تجاوزت كل إجابات NXDOMAIN المختبرة الحدّين. تضخمت الإجابات السلبية بسبب عدة إثباتات NSEC3 موقّعة، لا بسبب الحشو في توقيع منفرد.

وفّر التوقيع 11 بايتاً. وبقيت إجابة NXDOMAIN أكبر من أن تلائم حزمة واحدة. هذا هو التوتر الذي عرضته Ginevra Fabrizio في RIPE 93: منحنى التوقيع صار أصغر، لكن إجابة DNS الكاملة لم تخفّ إلا قليلاً.

قدّمت Fabrizio، الباحثة في جامعة تفينته، دراسة أنجزتها مع زملاء في SIDN. نُشرت الورقة في Applied Networking Research Workshop عام 2025؛ ثم شرحت مقارنة الصيغ في جلسة DNS ضمن RIPE 93 يوم 29 أكتوبر 2026. السؤال تشغيلي ومباشر: هل يسمح تقليص التوقيع ببضعة بايتات بأن تدخل إجابات حقيقية أكثر في حزمة واحدة؟

يوقّع DNSSEC بيانات DNS كي تتحقق المحلّلات من أصالة الإجابة وسلامتها. وقد تحتاج الإجابة السلبية إلى عدة سجلات NSEC3 وتوقيعاتها لإثبات غياب الاسم.

استخدم الفريق الاستعلامات التي تلقتها خوادم الأسماء السلطوية لنطاق .nl خلال 24 ساعة في 3 أبريل 2025. أزالوا بيانات DNSSEC الموجودة من ملف المنطقة، ووقّعوا نسختين تجريبيتين باستخدام Falcon-512، ثم أعادوا تمرير الاستعلامات المسجّلة إلى خوادم NSD: إحداهما بتوقيعات مبطّنة والأخرى بلا حشو. قاسوا أحجام أكثر نوعين شيوعاً من الإجابات، NOERROR وNXDOMAIN. لم تُشغّل التجربة Falcon على منطقة .nl الإنتاجية.

على مستوى التوقيع وحده، تفوز الصيغة المضغوطة. يبلغ توقيع Falcon-512 المبطّن 666 بايتاً بالضبط. وفي المنطقة التجريبية، بلغ وسيط التوقيع غير المبطّن 655 بايتاً. لكن الحزمة تحمل أيضاً اسم النطاق المطلوب وسجلات DNS وإثباتات DNSSEC وتوقيعاتها.

بقيت غالبية إجابات NOERROR دون ميزانية رسالة DNS البالغة 1,232 بايتاً ودون حد Ethernet MTU البالغ 1,500 بايت الذي استخدمته المقارنة. تجاوزت حدّي الحجم نسبة أصغر لكنها غير مهملة. وظل المنحنيان متقاربين؛ فلم يؤدّ تبديل صيغة التوقيع إلى زيادة ملموسة في عدد الإجابات التي تدخل ضمن الحد. كانت معظم الإجابات ملائمة أصلاً، ونادراً ما غيّرت 11 بايتاً موقع الإجابة بالنسبة إلى الخط الفاصل.

ظهرت الحالة الأصعب في NXDOMAIN. تحتاج الإجابة السلبية الموقّعة إلى إثبات عدم وجود الاسم. وقد يضم هذا الإثبات في المنطقة المدروسة سجلّين أو ثلاثة من NSEC3، لكل منها توقيعه. أنتجت إعادة التشغيل 113,348,878 إجابة NXDOMAIN؛ تجاوزتها جميعاً حدّي الحجم. تراوحت الإجابات ذات إثباتَي NSEC3 الموقّعين بين 2,269 و2,420 بايتاً، وبلغت الإجابات ذات ثلاثة إثباتات بين 3,075 و3,767 بايتاً. جاءت التوقيعات إلى حزمة محمّلة أصلاً بالإثباتات.

ضمّت مجموعة استعلامات NOERROR عدد 59,312,128 إجابة NOERROR بعد إعادة التشغيل. تستحق النسبة التي تجاوزت الحدّين الاهتمام، لكنها تختلف عن نتيجة NXDOMAIN: ضمّت المجموعة الأولى إجابات على جانبي الحدّ، بينما تجاوزت كل إجابة مختبرة في المجموعة الثانية الحدّين. يوضح جدول الأحجام في الورقة الآلية: إضافة إثبات موقّع آخر تزيد مئات البايتات؛ أما تغيير صيغة توقيع واحد فيضيف فرقاً أصغر بكثير.

قارنت دراسة Fabrizio أيضاً اختلاف طول أسماء النطاقات المستعلَمة باختلاف حجم توقيع Falcon-512 واحد غير مبطّن؛ وكان التفاوت من الرتبة نفسها. يعيد هذا القياس وفورات الضغط إلى حساب DNS الفعلي: تتغير الأسماء، ويتغير عدد الإثباتات، ولا تحدد صيغة توقيع واحد حجم الإجابة كاملة.

خلص المؤلفون إلى أن الصيغة المبطّنة ذات الحجم الثابت قد تكون أفضل بسبب قابلية التنبؤ وتقليل أخطاء التنفيذ. وفي أسئلة RIPE 93، وصفت Fabrizio الحساب بالفاصلة العائمة بأنه تحدٍ للتنفيذ ووضعته إلى جانب اللجوء الكبير إلى TCP. لا يصغّر الحشو إجابة متضخمة؛ لكنه يثبت طول التوقيع بينما يوازن النظام بين تعقيد التنفيذ وتوفير متوسط محدود.

وقالت أيضاً إنها وSIDN بدأتا إعداد منصة اختبار لأحمال جهتي المحلّل التكراري والخادم السلطوي باستخدام Falcon وML-DSA. كانت النتائج حديثة جداً ولم تتوفر الرسوم بعد في العرض. والخطوة المفيدة التالية هي ربط توزيع أحجام الردود بإعادات المحاولة عبر TCP وبزمن الاستجابة الفعلي لدى المحلّلات التكرارية. لم تقس الورقة إعادات المحاولة العودية في الإنتاج أو التأخير من طرف إلى طرف؛ وستغير هذه الوقائع تقدير الكلفة التشغيلية لفارق 11 بايتاً.

الانقسام المقاس واضح: بقيت معظم إجابات NOERROR المختبرة دون الحدود، فيما تجاوزتها جميع إجابات NXDOMAIN. وينبغي تقييم أي اختيار مستقبلي لصيغة Falcon في DNSSEC وفق شكل الإجابة وعدد الإثباتات، لا وفق وسيط توقيع منفرد.