Geoff Huston은 검사하지 않을 DNS 서명을 그만 주문하자고 했다

Summary

• Geoff Huston과 공동 저자 두 명은 DNSSEC를 검증하지 않는 재귀 확인자가 DO 없는 요청을 받았다면 권한 서버로 보내는 요청에서도 DO를 지우자고 제안했다.
• APNIC Labs가 2026년 11월 3일까지 한 주 동안 측정한 363억 건의 질의 중 60.2%에 DO가 있었다. 초안은 서명 없이 얻은 답을 캐시에 표시하고 필요하면 다시 요청하도록 한다.

DNS 확인자는 자신이 검사하지 않을 서명을 받아 올 때가 있다. Geoff Huston은 양자내성 서명이 그 짐을 키우기 전에 주문서를 고치자고 한다. 그의 APNIC 분석에 따르면 11월 3일까지 일주일 동안 APNIC Labs가 측정한 약 363억 건의 질의 중 60.2%에 DNSSEC OK, 즉 DO 비트가 있었다. 수치는 APNIC의 측정 트래픽을 가리킨다.

APNIC 팀 소개는 Huston을 수석 과학자로 적고 있다. 그는 Warren Kumari, Peter Thomassen과 IETF 개인 초안을 냈다. 재귀 확인자가 DNSSEC를 직접 검증하지 않고 들어온 질의에도 DO가 없다면, 권한 서버로 보내는 질의에서 DO를 지우자는 내용이다. 권한 서버는 서명 레코드를 빼고 답할 수 있다. 미래의 큰 서명 때문에 발생할 TCP 재시도도 일부 줄일 수 있다.

대가는 캐시에 남는다. 확인자는 어떤 응답을 DNSSEC 증거 없이 저장했는지 기억해야 한다. 뒤이어 DO를 요구하는 이용자가 오면 권한 서버에 다시 물어야 한다. 저자들은 질의 증가와 구현 복잡성을 인정하며 초안을 토론용 생각이라고 부른다. 현행 RFC 4035는 보안 기능을 아는 확인자에게 DO 설정을 요구한다.

Huston의 이전 연구는 잘린 DNS 응답 뒤 TCP로 넘어가는지를 측정했다. 이번에는 큰 응답을 누가 처음 요청했는지가 쟁점이다. 아낀 전송량과 새로 생긴 재질의를 함께 측정해야 한다.