요약

  • 10월 30일 개인 제출 Internet-Draft는 DNSSEC을 직접 검증하지 않는 재귀 해석기가 DO 비트 없는 요청을 받으면 상위 질의에서도 DO를 빼도록 제안한다.
  • 나중에 검증 자료를 요구하는 고객이 오면, 해석기는 증거 없이 저장된 응답을 알아보고 권한 서버에 다시 질의해야 한다.

첫 고객은 답만 받는다. 다음 고객은 서명을 확인하고 싶다. 캐시에는 답이 있지만 검증 자료는 애초에 들어오지 않았다. Warren Kumari, Geoff Huston, Peter Thomassen이 제출한 Clearing the DO bit for DNSSEC는 바로 그 두 번째 왕복을 대가로 제시한다. 논의를 위한 개인 초안이며 IETF가 채택한 표준은 아니다.

DO 비트는 DNSSEC 기록을 요청한다. 현행 RFC 3225와 RFC 4035는 DNSSEC을 다룰 수 있는 재귀 해석기가 원래 고객의 요청에 DO가 없어도 상위 질의에는 DO를 넣도록 한다. 고객에게 답할 때 증거를 빼더라도 내부에는 남겨 둘 수 있다.

새 초안은 해석기가 자체 검증을 하지 않고 DO 없는 질의를 받는 경우를 겨냥한다. 상위 질의도 DO 없이 보내면 권한 서버는 DNSSEC 증거를 자동 첨부하지 않는다. 향후 양자내성 서명이 커지면서 응답 크기, 잘림, TCP 전환이 늘 수 있다는 우려가 동기다. 초안에는 절감한 바이트 수나 배포 측정치가 없다.

핵심 조건은 캐시에 붙는다. 해석기는 DNSSEC 자료 없이 받아 저장한 항목을 표시해야 한다. 뒤이어 DO가 있는 요청이 오면 권한 서버에 DO를 넣어 재질의해야 한다. 단순히 «캐시 적중»으로 처리하면 검증 고객에게 필요한 자료를 주지 못한다. DNSOP 논의에는 UDP 응답을 줄이는 대신 큰 응답을 다루는 스트림 전송으로 옮기자는 견해도 있다. 판단을 바꿀 증거는 요청 순서를 바꾼 구현 시험, 뒤늦은 검증의 성공 여부, 권한 서버의 총부하 측정이다.

초안 · RFC 3225 · RFC 4035