Résumé

  • En 2017, Paul Wilson a annoncé qu’APNIC financerait l’ajout chez ISC d’un cache NSEC dit agressif : le résolveur réutilise une preuve signée de non-existence.
  • Le bilan d’activité d’APNIC cite le parrainage du développement ; la version finale de BIND 9.12, publiée en janvier 2018, contient cette fonction.

Installer encore un serveur racine est une réponse visible : il faut un site, un équipement, une inauguration. Paul Wilson a choisi une réponse que l’on ne photographie guère. Dans son texte de 2017, le directeur général d’APNIC rappelait que son organisme avait aidé à installer ou financé au moins 29 instances racine dans 21 économies depuis 2002. Il proposait ensuite de réduire la quantité de travail inutile qu’on leur envoyait.

Le point de départ est une réponse DNSSEC prouvant qu’un nom n’existe pas. Un enregistrement NSEC signé peut couvrir tout un intervalle de noms absents. Selon RFC 8198, un résolveur validant peut garder cette preuve et fabriquer localement d’autres réponses négatives pour les noms compris dans cet intervalle, jusqu’à expiration du cache. Une question différente et tout aussi vaine n’exige alors pas un nouveau voyage vers la racine. L’astuce tient dans l’étendue de la preuve, pas dans une intuition sur les noms.

Wilson engagea APNIC à financer l’intégration de cette capacité dans BIND, le logiciel libre d’ISC. La présentation d’activité 2017 d’APNIC mentionne l’implémentation financée pour BIND 9.12. ISC en décrit le mécanisme dans sa note de développement, puis annonce la sortie définitive le 23 janvier 2018 avec l’utilisation agressive de NSEC. Cette fois, le résultat n’était pas une promesse dans un discours : le code était livré.

Le geste de Wilson déplaçait une partie de la résilience vers l’endroit où naît la requête. APNIC avait déjà rapproché la racine des réseaux ; elle aidait maintenant ces réseaux à reconnaître une réponse négative fiable avant de solliciter la racine. Pour les noms fantômes, le silence d’un serveur peut être un signe de bonne ingénierie.