Кратко

  • Индивидуальный Internet-Draft предлагает: если рекурсивный резолвер сам не проверяет DNSSEC и входящий запрос не содержит DO, к авторитативному серверу тоже обращаться без DO.
  • Если позже клиенту понадобится криптографический материал, резолвер обязан распознать запись кэша без него и запросить данные ещё раз с DO.

Первому клиенту нужен только ответ. Второй хочет проверить подпись. Ответ лежит в кэше, но подпись туда никогда не попадала. В этом втором походе к источнику и заключена цена проекта Clearing the DO bit for DNSSEC, который Warren Kumari, Geoff Huston и Peter Thomassen подали 30 октября. Документ опубликован как индивидуальный проект для обсуждения; он не получил статус принятого стандарта IETF.

Бит DO означает запрос записей DNSSEC. Действующие RFC 3225 и RFC 4035 требуют от рекурсивного сервера с поддержкой DNSSEC устанавливать DO во внешнем запросе, даже если исходный клиент этого не сделал. Доказательства можно убрать из ответа такому клиенту и сохранить для будущих обращений.

Проект меняет поведение в конкретной ситуации: резолвер не выполняет проверку, а входящий запрос пришёл без DO. Тогда и запрос к авторитативному серверу предлагается посылать без DO. Сервер не будет автоматически добавлять доказательства DNSSEC. Предполагается, что более крупные постквантовые подписи иначе увеличат ответы, усечение и переход на TCP. В проекте нет измерений сэкономленных байтов, нагрузки или реальных внедрений.

Обязательное условие переносится в кэш. Резолвер должен помечать ответы, полученные без записей DNSSEC. Если затем приходит запрос с DO, ему нужно повторно обратиться к авторитативному серверу с DO. Обычный ответ из кэша оставит проверяющего клиента без необходимого доказательства. В обсуждении DNSOP уже звучит другой путь: переносить больше DNS-запросов на потоковый транспорт, рассчитанный на большие ответы. Для выбора нужны результаты реализации с обоими порядками поступления запросов, проверкой подписи и измерением общей нагрузки на авторитативный сервер.

Проект · RFC 3225 · RFC 4035