Summary

  • Geoff Huston и два соавтора предлагают очищать бит DO в исходящем запросе рекурсивного резолвера без проверки DNSSEC, если входящий запрос тоже пришёл без DO.
  • В измерении APNIC Labs за неделю до 3 ноября 2026 года DO присутствовал в 60,2% из 36,3 млрд запросов. Черновик требует помечать кешированные ответы без DNSSEC-доказательств.

DNS-резолвер порой заказывает подпись, которую не собирается проверять. Geoff Huston хочет посчитать цену заказа до того, как постквантовые подписи сделают его тяжелее. В анализе APNIC он пишет: бит DNSSEC OK, или DO, присутствовал в 60,2% из 36,3 млрд запросов, измеренных APNIC Labs за неделю до 3 ноября. Это трафик измерительной платформы APNIC.

APNIC указывает, что Huston занимает должность главного научного сотрудника. Вместе с Warren Kumari и Peter Thomassen он выпустил индивидуальный черновик IETF. Если рекурсивный резолвер сам не проверяет DNSSEC и получил запрос без DO, он должен отправлять запрос авторитативному серверу тоже без DO. Тогда сервер сможет не передавать подписи; при больших будущих подписях это может сократить число переходов на TCP.

Затраты переезжают в кеш. Резолвер обязан помнить, что сохранённый ответ пришёл без DNSSEC-доказательств. Когда следующий клиент запросит DO, придётся снова обратиться к авторитативному серверу. Авторы признают дополнительные запросы и усложнение реализации и называют текст идеей для обсуждения. Действующий RFC 4035 требует от резолверов с поддержкой безопасности устанавливать DO.

Прежнее исследование Huston проверяло переход на TCP после усечённого ответа. Здесь вопрос возникает раньше: кто заказал большой ответ? Оценка требует сопоставить сэкономленные байты и TCP-сеансы с новыми запросами из кеша.