Summary

  • Geoff Huston y dos coautores proponen que un resolutor recursivo sin validación DNSSEC borre DO cuando la consulta entrante tampoco lo tenga.
  • APNIC Labs observó DO en el 60,2 % de 36.300 millones de consultas durante una semana terminada el 3 de noviembre de 2026. El borrador exige distinguir en la caché las respuestas obtenidas sin pruebas DNSSEC.

Un resolutor puede pedir una firma criptográfica que luego no examinará. Geoff Huston quiere calcular esa factura antes de que las firmas poscuánticas aumenten su tamaño. Su análisis en APNIC halló el bit DNSSEC OK, DO, en el 60,2 % de 36.300 millones de consultas medidas durante una semana hasta el 3 de noviembre. Es tráfico del sistema de medición de APNIC Labs.

APNIC identifica a Huston como científico jefe. Con Warren Kumari y Peter Thomassen presentó un borrador individual en el IETF: un resolutor recursivo que no valida DNSSEC y recibe una consulta sin DO enviaría también sin DO su petición al servidor autoritativo. La respuesta podría omitir registros de firmas y evitar parte del salto a TCP cuando esas firmas sean mucho mayores.

La deuda queda en la caché. El resolutor debe recordar qué respuesta llegó sin pruebas DNSSEC. Si más tarde un cliente solicita DO, tendrá que preguntar otra vez al servidor autoritativo. Los autores reconocen consultas extra y mayor complejidad; califican su texto de idea para debate. RFC 4035 todavía pide a los resolutores con conocimiento de seguridad que incluyan DO.

Un trabajo anterior de Huston examinó si los resolutores repetían por TCP una respuesta truncada. Esta vez pregunta quién encargó la respuesta grande. Faltan pruebas de campo que comparen bytes y conexiones ahorradas con las nuevas consultas de caché.