Ginevra Fabrizio: 11 bytes menos; NXDOMAIN desborda

Resumen

En la reproducción de un día de consultas .nl, las firmas Falcon-512 sin relleno tuvieron una mediana de 655 bytes, 11 menos que el tamaño fijo de 666. Esa diferencia no aumentó de forma apreciable las respuestas NOERROR que cabían bajo 1.232 y 1.500 bytes.
Todas las respuestas NXDOMAIN probadas rebasaron ambos límites. Varias pruebas NSEC3 firmadas, y no el relleno de una firma aislada, hicieron grandes esas respuestas negativas.

La firma comprimida ganó por once bytes. La respuesta NXDOMAIN siguió ocupando varios paquetes. Esa es la fricción que Ginevra Fabrizio llevó a RIPE 93: una mejora visible en la distribución de firmas apenas movió el tamaño de las respuestas completas.

Fabrizio, investigadora de la Universidad de Twente, presentó un estudio realizado con colegas de SIDN. El artículo apareció en el Applied Networking Research Workshop de 2025; el 29 de octubre de 2026 expuso la comparación en la sesión DNS de RIPE 93. La pregunta era operativa: si la firma DNSSEC se acorta un poco, ¿cuántas respuestas reales adicionales caben en un solo paquete?

DNSSEC firma los datos de DNS para que los resolutores comprueben la autenticidad y la integridad de la respuesta. Una respuesta negativa puede necesitar varios registros NSEC3 firmados para demostrar que un nombre no existe.

El equipo partió de consultas recibidas por los servidores autoritativos de .nl durante 24 horas, el 3 de abril de 2025. Quitó los datos DNSSEC existentes de la zona, firmó dos copias de prueba con Falcon-512 y reprodujo las consultas contra servidores NSD: una copia llevaba firmas con relleno y la otra, firmas sin relleno. El análisis midió tamaños para las dos respuestas más comunes, NOERROR y NXDOMAIN. La zona de producción .nl no ejecutó Falcon.

En la gráfica individual de firmas, la compresión gana. Falcon-512 con relleno mide 666 bytes de manera fija. En la zona probada, la mediana sin relleno fue de 655 bytes. Once bytes cuentan; el paquete completo también carga el nombre consultado, los registros DNS, las pruebas DNSSEC y sus firmas.

La mayoría de las respuestas NOERROR quedó dentro del presupuesto DNS de 1.232 bytes y del MTU Ethernet de 1.500 bytes utilizado en la comparación. Una proporción menor, aunque relevante, excedió esos valores. Las curvas de los dos formatos se mantuvieron muy cerca. El cambio de firma no hizo que una cantidad importante de respuestas cruzara hacia el lado que cabe en el paquete. La mayoría ya cabía y once bytes rara vez alteraban el resultado.

NXDOMAIN mostró el problema más áspero. Una respuesta negativa firmada debe demostrar que el nombre no existe. En esta zona, la prueba podía reunir dos o tres registros NSEC3 y cada uno llevaba su firma. La reproducción generó 113.348.878 respuestas NXDOMAIN; todas superaron ambos límites. Con dos NSEC3 firmados, las respuestas midieron entre 2.269 y 2.420 bytes. Con tres, entre 3.075 y 3.767. La firma llegaba a una respuesta que ya iba cargada de pruebas.

El conjunto NOERROR produjo 59.312.128 respuestas NOERROR en la reproducción. La fracción que excedió los límites merece atención, pero no es el mismo resultado que NXDOMAIN: el primer grupo fue mixto; el segundo rebasó ambos umbrales en todos los casos medidos. La tabla del artículo deja ver el mecanismo. Añadir otra prueba firmada suma cientos de bytes; cambiar el formato de una firma mueve mucho menos.

El trabajo de Fabrizio también comparó la longitud de los nombres consultados con la variación de tamaño de una firma Falcon-512 sin relleno. Ambas variaciones eran del mismo orden. El ahorro por compresión vuelve a su escala dentro de la aritmética del DNS: cambian los nombres, cambia la cantidad de pruebas, y el formato de una firma no determina el volumen de toda la respuesta.

Los autores consideran que el formato de tamaño fijo puede ser preferible por su previsibilidad y porque reduce errores de implementación. En las preguntas de RIPE 93, Fabrizio describió la aritmética de punto flotante como una dificultad de implementación y la contrapuso al uso considerable de TCP. El relleno no reduce una respuesta sobredimensionada; sí estabiliza la longitud de la firma mientras el ecosistema valora la complejidad frente a un ahorro medio pequeño.

Fabrizio contó también que ella y SIDN comenzaban un banco de pruebas para cargas de resolutores y servidores autoritativos con Falcon y ML-DSA. Los resultados eran demasiado recientes para mostrar gráficas. La próxima evidencia útil conectaría los tamaños con los reintentos TCP y la latencia que observan los resolutores. El estudio no midió reintentos recursivos en producción ni demora de extremo a extremo; esos datos podrían cambiar el coste operativo asignado a los 11 bytes.

La diferencia ya es clara: la mayoría de NOERROR probados cabía bajo los límites, mientras NXDOMAIN los superó siempre. Una futura decisión sobre formatos Falcon para DNSSEC debe separar las respuestas por forma y cantidad de pruebas, no quedarse con la mediana de una firma.