Summary

  • Geoff Huston e dois coautores propõem que um resolvedor recursivo sem validação DNSSEC limpe DO quando a consulta recebida também vier sem esse bit.
  • Na amostra da APNIC Labs encerrada em 3 de novembro de 2026, 60,2% de 36,3 bilhões de consultas traziam DO. O texto exige marcar respostas guardadas sem provas DNSSEC e buscá-las de novo quando necessário.

Um resolvedor DNS pode encomendar uma assinatura que jamais vai conferir. Geoff Huston quer cobrar essa encomenda antes que assinaturas pós-quânticas a tornem maior. Sua análise na APNIC encontrou o bit DNSSEC OK, DO, em 60,2% de 36,3 bilhões de consultas medidas durante a semana encerrada em 3 de novembro. É a amostra da plataforma de medição da APNIC Labs.

A página da equipe da APNIC apresenta Huston como cientista-chefe. Com Warren Kumari e Peter Thomassen, ele assinou um Internet-Draft individual: se o resolvedor recursivo não valida DNSSEC e recebe uma pergunta sem DO, pode retirar DO da pergunta enviada ao servidor autoritativo. O servidor pode dispensar registros de assinatura e, com assinaturas futuras maiores, evitar parte das idas ao TCP.

A economia deixa uma pendência no cache. O resolvedor precisa distinguir as respostas obtidas sem prova DNSSEC. Se outro cliente pedir DO depois, será preciso consultar novamente o servidor autoritativo. Os autores apontam mais consultas e complexidade e chamam o texto de ideia em discussão. O RFC 4035 ainda manda resolvedores cientes de segurança marcar DO.

A pesquisa anterior de Huston investigou o retorno por TCP após uma resposta truncada. Aqui ele examina quem pediu a resposta grande. O balanço depende de medir juntos bytes e TCP poupados e consultas extras criadas pelo cache.