Summary

  • Geoff Huston et deux coauteurs proposent qu’un résolveur récursif non validant efface le bit DO si la requête reçue ne demande aucune donnée DNSSEC.
  • Dans la mesure APNIC Labs arrêtée au 3 novembre 2026, 60,2 % de 36,3 milliards de requêtes portaient DO. Le projet impose de marquer les réponses mises en cache sans signatures, puis de les redemander au besoin.

Un résolveur DNS peut réclamer une signature qu’il ne vérifiera jamais. Geoff Huston veut examiner l’addition avant que la cryptographie post-quantique n’alourdisse ces signatures. Son analyse pour APNIC compte le bit DNSSEC OK, dit DO, dans 60,2 % de 36,3 milliards de requêtes observées sur une semaine close le 3 novembre. Il s’agit du trafic de mesure d’APNIC Labs.

APNIC présente Huston comme scientifique en chef. Avec Warren Kumari et Peter Thomassen, il a déposé un Internet-Draft individuel. Leur idée: si le résolveur récursif ne valide pas DNSSEC et reçoit une question sans DO, il envoie aussi sa question en amont sans ce bit. Le serveur faisant autorité peut alors omettre les preuves DNSSEC et, si les futures signatures deviennent très grandes, éviter certains échanges TCP.

Le cache reçoit la contrepartie. Il doit savoir quelles réponses ont été obtenues sans signatures. Si un autre client exige ensuite DO, une nouvelle requête au serveur faisant autorité devient nécessaire. Les auteurs signalent ce surcroît de trafic et de complexité; leur texte reste une idée en discussion. La règle actuelle de RFC 4035 demande aux résolveurs conscients de DNSSEC de poser DO.

Le précédent article de Huston mesurait la suite donnée à une réponse DNS tronquée. Ici, il remonte à la commande initiale. La décision attend une mesure comparant octets et recours à TCP économisés aux requêtes supplémentaires du cache.