Resumen

  • Paul Wilson anunció en 2017 que APNIC financiaría a ISC para añadir a BIND un uso agresivo de pruebas NSEC: respuestas negativas firmadas que el resolvedor puede reutilizar.
  • APNIC registró el patrocinio en su balance de actividades y la versión final de BIND 9.12, lanzada en enero de 2018, incluyó la función.

Un servidor raíz más es fácil de contar. La pregunta que Paul Wilson planteó en agosto de 2017 era menos vistosa: ¿cuántas consultas podrían dejar de llegar a esos servidores? APNIC llevaba desde 2002 ayudando a instalar o financiar al menos 29 instancias en 21 economías. Wilson valoraba esa expansión, pero quería que el resolvedor recursivo hiciera mejor su propia parte del trabajo.

DNSSEC puede aportar una prueba firmada de que ciertos nombres no existen. Los registros NSEC describen un intervalo de nombres ausentes; RFC 8198 permite que un resolvedor validador conserve esa prueba y construya respuestas negativas para otros nombres del intervalo mientras el caché siga vigente. Si ya tiene una prueba verificable del «no», cada nuevo nombre inventado dentro del mismo tramo no necesita molestar otra vez a la raíz. La diferencia con el caché corriente está en contestar preguntas distintas con una misma evidencia.

Wilson comprometió recursos de APNIC para que ISC añadiera esa capacidad a BIND. El informe de actividad de APNIC identifica el desarrollo de BIND 9.12 como patrocinado por el registro. ISC explicó la implementación en su nota técnica y el 23 de enero de 2018 anunció la versión final con NSEC Aggressive use. Entre la idea y el programa distribuido hay una fecha, un número de versión y código que los operadores pueden instalar.

La decisión tiene un giro elegante. APNIC había llevado copias del servicio raíz hacia las redes; ahora pagaba para que parte de las redes supiera cuándo podía dejar al servicio raíz en paz. El coste de una mala pregunta pasaba a resolverse mucho más cerca de quien la había formulado.