الخلاصة

  • أعلن بول ويلسون في 2017 أن APNIC ستموّل عمل ISC لإضافة استخدام مكثف لسجلات NSEC في BIND، كي يعيد المحلّل استخدام برهان موقّع على عدم وجود الاسم.
  • وثق تقرير نشاط APNIC الدعم، ثم صدر BIND 9.12 رسمياً في يناير 2018 متضمناً الوظيفة.

كان من السهل رؤية إنجاز APNIC القديم: خوادم جذر إضافية أقرب إلى الشبكات. أحصى بول ويلسون في مقاله عام 2017 ما لا يقل عن 29 خادماً ساعدت المؤسسة في نشره أو تمويله في 21 اقتصاداً منذ 2002. ثم سأل سؤالاً أقل قابلية للتصوير: لماذا تصل إلى تلك الخوادم استفسارات يستطيع المحلّل حسمها بنفسه؟

الإجابة تبدأ من DNSSEC. يسجل NSEC، بتوقيع قابل للتحقق، مجالاً من الأسماء التي لا وجود لها. يسمح RFC 8198 للمحلّل العودي الذي يتحقق من التوقيع بحفظ الدليل، ثم توليد جواب سلبي لأسماء أخرى داخل المجال نفسه طوال صلاحية الذاكرة. الذاكرة المعتادة تحفظ جواب الاسم ذاته؛ الاستخدام المكثف لـ NSEC يجيب عن أسماء مختلفة ببرهان واحد. وإذا طرق اسم وهمي جديد الباب، يمكن أن يجد كلمة «لا» جاهزة وموقّعة.

قرر ويلسون تمويل تنفيذ هذه الفكرة لدى ISC، مطوّرة BIND المفتوح المصدر. يذكر تقرير APNIC لأنشطة 2017 صراحة دعم تنفيذ الوظيفة في BIND 9.12. وشرحت ISC طريقة عملها في بيان التطوير، ثم أعلنت الإصدار النهائي في 23 يناير 2018 مع خاصية NSEC Aggressive use. هكذا انتقل قرار إنفاق صغير نسبياً في شكل ميزانية إلى أداة يستطيع مشغلو الشبكات تثبيتها.

بدلاً من أن تكون كل زيادة في الصمود خادماً جديداً، صار لبعض الطلبات جواب عند طرف الشبكة. خوادم الجذر بقيت تؤدي عملها؛ وخرجت من طابورها أسئلة يحمل السائل دليل الرد عليها.