要約

  • 10月30日の個人提出Internet-Draftは、自らDNSSECを検証しない再帰リゾルバーがDOビットなしの要求を受けた場合、上流の問い合わせでもDOを外すよう提案する。
  • 後から証明を求めるクライアントが来たら、証明なしで保存した回答だと判別し、権威サーバーへ再度問い合わせる必要がある。

一人目の利用者は答えだけを受け取る。二人目は署名を確かめたい。キャッシュには答えがあるのに、証明はない。Warren Kumari、Geoff Huston、Peter Thomassenが提出した新しい草案は、この場面で誰がもう一度動くかを問い直す。草案は議論のための個人提案で、IETFが採用した標準ではない。

DOはDNSSECの記録を応答に含めるよう求めるビットだ。RFC 3225とRFC 4035では、DNSSECを扱う再帰リゾルバーは、元の要求にDOがなくても上流へはDOを付ける。利用者への返答から証明を除いても、後の要求に備えて内部には保持できる。

草案が狙うのは、検証しないリゾルバーがDOなしの要求を受ける場合だ。上流にもDOなしで問い合わせれば、権威サーバーはDNSSECの証明を自動添付しない。将来の耐量子署名が大きくなれば、応答の肥大化、切り詰め、TCPへの切り替えが増えるという懸念が背景にある。ただし草案に削減量や実装試験の数字はない。

その節約には記録義務が付く。証明なしで得たキャッシュ項目を区別し、後からDO付き要求が来た場合は、権威サーバーにDO付きで聞き直す。「キャッシュにあるから返す」だけでは、検証する利用者に必要な材料が届かない。DNSOPの議論では、小さなUDP応答を追う代わりに、大きな応答を扱えるストリーム型通信へ寄せる考えも示された。判断を動かすのは、要求が来る順序を入れ替えた試験と、検証の成否、権威側の総負荷を測った実装結果だ。

草案 · RFC 3225 · RFC 4035