要約

  • Paul Wilsonは2017年、APNICがISCによるBINDの積極的NSECキャッシュ実装を支援すると発表した。検証済みの否定応答を再利用する仕組みだ。
  • APNICの活動報告は実装への支援を記し、ISCは2018年1月にこの機能を含むBIND 9.12を正式公開した。

存在しない名前を尋ねられるたびに、ルートサーバーが律義に答える必要はあるのか。APNICのPaul Wilsonは2017年の寄稿で、その問いを立てた。それまでAPNICは2002年以降、21の経済圏で少なくとも29のルートサーバー拠点の設置を支援していた。近くに置く取り組みの次に、そもそも問い合わせの数を減らす道を選んだのである。

鍵になるのはDNSSECのNSECレコードだ。署名によって、ある範囲の名前が存在しないことを証明できる。RFC 8198に基づき、検証する再帰リゾルバーは証明をキャッシュし、有効期間内ならその範囲の別の名前にもローカルで否定応答を作れる。同じ名前を覚える普通のキャッシュより一歩広い。証拠が示す「空白」に対して、毎回ルートへ聞き直さなくて済む。

Wilsonが決めたのは、ISCのオープンソースソフトBINDにこの機能を入れるための資金支援だ。APNICの2017年活動報告にはBIND 9.12の積極的NSEC実装への支援が明記される。ISCの開発説明もAPNICの支援を認め、2018年1月23日の正式リリースにはNSEC Aggressive useが含まれた。構想の終点は、会議の採択文ではなく配布可能なソフトウェアだった。

増設した拠点に問い合わせを受けてもらうか、問い合わせ側に正しい「いいえ」を覚えてもらうか。Wilsonは後者にも資金を投じた。DNSの騒がしさを減らす、ずいぶん静かな仕事である。