Resumo

  • Uma proposta individual recomenda que um resolvedor recursivo que não valida DNSSEC retire o bit DO da consulta ascendente quando o pedido recebido também vier sem DO.
  • Se depois chegar um pedido que exige a prova, o resolvedor deve reconhecer a entrada incompleta no cache e consultar novamente o servidor autoritativo.

O primeiro cliente pede apenas a resposta. O segundo pede a assinatura. A resposta está na gaveta do cache; a assinatura nunca entrou ali. É nesse retorno à origem que mora o custo de Clearing the DO bit for DNSSEC, apresentado em 30 de outubro por Warren Kumari, Geoff Huston e Peter Thomassen. Trata-se de um Internet-Draft individual para debate, sem aprovação como padrão da IETF.

O bit DO informa que o cliente pode receber registros DNSSEC. Pelos RFC 3225 e RFC 4035, um resolvedor recursivo que entende DNSSEC ativa DO ao consultar a montante mesmo quando o cliente inicial não o ativou. Ele pode retirar as provas da resposta entregue ao cliente e ainda conservá-las internamente.

O rascunho propõe outra escolha no caso específico de um resolvedor que não faz validação e recebe uma consulta sem DO: consultar a autoridade também sem DO. O servidor autoritativo então deixa de anexar automaticamente os registros de prova. Assinaturas pós-quânticas maiores poderiam elevar o tamanho das respostas, o truncamento e o recurso a TCP. O documento não mede bytes poupados, conexões evitadas ou sistemas em produção.

A obrigação aparece na hora de reutilizar o cache. O resolvedor deve marcar quais entradas chegaram sem provas DNSSEC. Se um cliente posterior perguntar com DO, será necessário repetir a consulta com DO para obter os registros. Uma resposta guardada não satisfaz um cliente validador quando faltam os dados de validação. A conversa no DNSOP já contrapõe a busca por respostas UDP menores à ampliação do transporte por fluxo. O teste decisivo é uma implementação que meça os dois pedidos em ordens diferentes, a validação final e a carga total na autoridade.

Rascunho · RFC 3225 · RFC 4035