Summary

  • Geoff Huston und zwei Mitautoren schlagen vor, dass ein nicht validierender rekursiver Resolver das DO-Bit löscht, wenn auch die eingehende Anfrage kein DO enthält.
  • APNIC Labs sah DO in 60,2 Prozent von 36,3 Milliarden gemessenen Anfragen in der Woche bis zum 3. November 2026. Der Entwurf verlangt, Antworten ohne DNSSEC-Nachweise im Cache zu markieren.

Ein DNS-Resolver kann eine Signatur bestellen, die er nie prüft. Geoff Huston will diese Bestellung berechnen, bevor Post-Quanten-Signaturen die Antwort vergrößern. Seine APNIC-Analyse fand das DNSSEC-OK-Bit, kurz DO, in 60,2 Prozent von 36,3 Milliarden Anfragen aus einer Messwoche bis zum 3. November. Das ist der Messverkehr von APNIC Labs.

APNIC führt Huston als Chief Scientist. Mit Warren Kumari und Peter Thomassen hat er einen individuellen Internet-Draft vorgelegt. Validiert ein rekursiver Resolver DNSSEC nicht selbst und trifft eine Anfrage ohne DO ein, soll er auch seine Anfrage an den autoritativen Server ohne DO senden. Der Server kann Signaturdaten weglassen und bei künftigen größeren Signaturen manche TCP-Umwege vermeiden.

Die Rechnung landet im Cache. Der Resolver muss wissen, welche Antwort ohne DNSSEC-Belege gespeichert wurde. Verlangt ein späterer Client DO, wird eine neue Anfrage beim autoritativen Server nötig. Die Autoren nennen zusätzliche Abfragen und Implementierungsaufwand; sie bezeichnen den Text als Diskussionsidee. RFC 4035 verlangt derzeit von sicherheitsbewussten Resolvern, DO zu setzen.

Hustons frühere Messung fragte, ob Resolver nach einer abgeschnittenen Antwort auf TCP wechseln. Hier geht es um die Bestellung vor dem großen Paket. Erst ein Vergleich von eingesparten Bytes und TCP-Vorgängen mit neuen Cache-Abfragen zeigt den Preis.