Summary

  • Geoff Hustonら三人の草案は、DNSSECを検証しない再帰リゾルバーがDOなしの問い合わせを受けた場合、権威サーバーへの問い合わせでもDOを外すよう提案する。
  • APNIC Labsが11月3日までの一週間に測った約363億件の問い合わせでは、60.2％にDOが付いていた。草案は署名なしの応答をキャッシュ内で区別するよう求める。

DNSリゾルバーは、使わない署名まで注文することがある。Geoff Hustonは耐量子暗号の署名が大きくなる前に、その注文を見直そうとしている。APNICに書いた分析では、11月3日までの一週間にAPNIC Labsが測った約363億件の問い合わせの60.2％にDNSSEC OK、すなわちDOビットが付いていた。測定対象の通信についての数値だ。

APNICの職員紹介はHustonを主任科学者と記す。Warren Kumari、Peter Thomassenと出したIETFの個人草案は、再帰リゾルバー自身がDNSSECを検証せず、受け取った問い合わせにもDOがなければ、権威サーバーへの問い合わせからDOを外す案を示す。権威側は署名レコードを省き、将来大きくなる応答でTCPへの切り替えを減らせる可能性がある。

代金はキャッシュが払う。署名なしで得た応答を記録し、後からDO付きの要求が来たら権威側へもう一度問い合わせる。著者らも照会の増加と実装の複雑さを挙げ、草案を議論用の案と呼ぶ。現行のRFC 4035は、DNSSECを理解するリゾルバーにDOの設定を求めている。

以前のHustonの測定は切り詰めた応答の後にTCPへ進めるかを問うた。今回は、そもそも誰が大きな応答を頼んだかを問う。省ける通信量と再照会の費用を同時に測る必要がある。