Falcon DNSSEC、11バイト節約しても応答は大きい

要約

トゥウェンテ大学と SIDN Labs の研究では、Falcon-512 の圧縮署名の中央値は655バイト、固定長のパディング署名は666バイトだった。.nl の実際の問い合わせを再生すると、この11バイト差は DNSSEC 応答がサイズの境界を越える割合をほとんど変えなかった。
存在しない名前への応答には複数の署名付き証明が載る。研究対象の NXDOMAIN 応答は、1,232バイトと1,500バイトの両方をすべて超えた。署名一つの細さで、応答全体の輸送を判断するわけにはいかない。

入場券を少し削っても、荷物は通らない

改札口の幅が決まっている。通行人が入場券を11ミリ薄くしたところで、背中に家具を三つ背負っていれば通れない。暗号の仕様書では入場券の厚さを競いやすい。DNS の現場で通るのは、署名だけを切り離した標本ではなく、証明や名前を含んだ応答一式だ。

トゥウェンテ大学と SIDN Labs の研究者が2025年に発表した論文は、DNSSEC に Falcon-512 を使う場合の二つの署名形式を比べた。圧縮形式は長さが変わり、パディング形式は666バイトで固定される。実験用の .nl ゾーンで圧縮署名の中央値は655バイト。差は11バイトだ。数字としては明快だが、論文の核心はその次にある。完全な DNS 応答が1,232バイト、または1,500バイトという研究上の境界に収まる件数は増えたのか。

研究者は2025年4月3日の .nl ゾーンから既存の DNSSEC 情報を取り除き、両形式の Falcon-512 でそれぞれ署名した。別々の NSD 試験サーバーに、一日分の記録済み問い合わせを再生する。収集時と再生時で応答区分が一致したものは、NOERROR が59,312,128件、NXDOMAIN が113,348,878件だった。問い合わせの型は実運用に由来する。Falcon で署名された応答は実験室で作られた。この区別を押さえると、論文が測ったものがはっきりする。実際の負荷に沿った応答サイズであり、.nl の本番切り替えではない。

NOERROR では、どちらの形式でも大半の応答が二つの境界内に収まった。一方、無視できない少数は超える。子ドメインに DS レコードがないことを示すため、署名付き NSEC3 の証明がもう一つ加わる場合があるからだ。署名を少し短くしても、この追加の証明そのものは消えない。圧縮で減ったバイト数は、境界の内側へ移る応答の件数を実質的に増やさなかった。

存在しない名前を返す NXDOMAIN では結果がさらに明瞭だ。対象とした応答はすべて1,232バイトと1,500バイトを超えた。署名付き NSEC3 を二つ含む群は2,269〜2,420バイト、三つ含む群は3,075〜3,767バイト。署名が複数なら圧縮による合計の節約も大きくなる。しかし、三千バイトを超える応答が11バイト単位の節約で千数百バイトの境界をくぐることはない。改札員が測るのは家具を含む全荷物である。

圧縮形式にも小さな皮肉がある。実験ゾーンの9,912,711個の署名のうち、一つだけ長さ667バイトの非パディング署名が現れた。固定長の666バイトより大きい。パディング方式では、この長さを超えたとき署名を作り直す。極端な例を一つ取り出して圧縮方式全体を否定する必要はない。ただ、可変長を採用するなら中央値だけでなく分布の端まで実装で扱う必要がある。

論文の著者たちは、この再生実験で境界を越える件数に目立つ改善がない以上、実装の予測しやすさと誤りの抑制から固定長形式が有利かもしれないと結論づけた。測定対象はメッセージの大きさで、CPU、メモリー、ハードウェア、署名や検証の全費用を精算した研究ではない。DNSSEC の規格採用もまだ決まっていない。それでも「署名が短いから配信に有利だ」という主張には、十分具体的な反証になっている。

NIST の公式ページは2026年10月27日の更新時点で、Falcon を標準化対象としつつ FIPS 206 を開発中と記す。ICANN の Paul Hoffman が提出した個人名義の Internet-Draftは、DNSSEC の選定で応答サイズ、展開速度、CPU、プロトコル変更、HSM、暗号解析、特許ライセンスを並べる。IETF の正式な標準文書という地位は持たないが、選択を一つの数字に押し込めないためのよい一覧だ。

RIPE 93 の日程では、Ginevra Fabrizio が10月29日にこの研究を紹介する予定だ。今日は28日で、発表の結果を先取りする理由はない。公表済み論文を手に、次の提案に問いを投げられる。どのゾーンか。どの問い合わせか。応答全体は何バイトか。TCP への切り替えは何件か。入場券の厚さだけを見せる発表には、背中の家具を下ろして並べてもらえばいい。