Кратко

  • В повторе суточного набора запросов к .nl медиана подписей Falcon-512 без заполнения составила 655 байт — на 11 байт меньше фиксированных 666. Это почти не увеличило число ответов NOERROR ниже порогов 1 232 и 1 500 байт.
  • Каждый проверенный ответ NXDOMAIN превысил оба порога. Размер раздували несколько подписанных доказательств NSEC3, а не заполнение одной подписи.

Подпись стала короче на 11 байт. Ответ NXDOMAIN всё равно не помещался в один пакет. Именно этот разрыв Ginevra Fabrizio показала на RIPE 93: график подписи улучшился, а полный DNS-ответ почти не похудел.

Fabrizio — исследовательница Университета Твенте; работу она подготовила вместе с коллегами из SIDN. Статья вышла на Applied Networking Research Workshop в 2025 году, а 29 октября 2026 года она представила сравнение форматов на DNS-сессии RIPE 93. Практический вопрос звучал так: даст ли немного более короткая подпись DNSSEC больше шансов уместить реальный ответ в один пакет?

DNSSEC подписывает данные DNS, чтобы резолвер мог проверить подлинность и целостность ответа. Отрицательный ответ может включать несколько записей NSEC3 с подписями, доказывающих отсутствие имени.

Команда взяла запросы, полученные авторитетными серверами .nl за 24 часа 3 апреля 2025 года. Исследователи удалили из файла зоны прежние данные DNSSEC, подписали две тестовые копии Falcon-512 и повторили записанные запросы к серверам NSD: одна зона использовала формат с заполнением, другая — без него. Сравнивались размеры двух самых частых классов ответов: NOERROR и NXDOMAIN. Falcon не запускали в рабочей зоне .nl.

Если смотреть только на подписи, формат без заполнения выигрывает. Фиксированная подпись Falcon-512 с заполнением занимает 666 байт; медиана в тестовой зоне без заполнения равнялась 655 байтам. Одиннадцать байт имеют значение, однако DNS-пакет также содержит запрошенное имя, DNS-записи, доказательства DNSSEC и их подписи.

Большинство ответов NOERROR укладывалось в бюджет DNS-сообщения 1 232 байта и Ethernet MTU 1 500 байт, использованные в сравнении. Меньшая, но заметная часть превышала оба значения. Кривые для двух форматов шли близко друг к другу; смена подписи заметно не увеличила число ответов, поместившихся в предел. Большинство и так помещалось, а разница в 11 байт редко меняла положение ответа относительно границы.

Сложный случай проявился в NXDOMAIN. Подписанный отрицательный ответ должен доказать, что имени не существует. В этой зоне доказательство могло содержать две или три записи NSEC3, каждая со своей подписью. Повтор дал 113 348 878 ответов NXDOMAIN; каждый превысил оба порога. Ответы с двумя подписанными NSEC3 занимали от 2 269 до 2 420 байт, а с тремя — от 3 075 до 3 767. Подпись добавлялась к пакету, уже заполненному доказательствами.

В наборе запросов NOERROR повтор дал 59 312 128 ответов с кодом NOERROR. Доля превышений важна, но её нельзя смешивать с результатом NXDOMAIN: в первой группе были ответы по обе стороны границ, во второй каждый проверенный ответ вышел за оба порога. Таблица размеров в статье показывает механизм. Ещё одно подписанное доказательство добавляет сотни байт; смена формата одной подписи — намного меньше.

В работе Fabrizio также сопоставила разброс длины запрашиваемых доменных имён с разбросом размера одной подписи Falcon-512 без заполнения. Они оказались одного порядка. Это возвращает выгоду сжатия к реальной арифметике DNS: имена различаются, число доказательств тоже, а формат одной подписи не определяет размер целого ответа.

Авторы считают, что фиксированный формат с заполнением может быть предпочтительнее благодаря предсказуемости и меньшему риску ошибок реализации. В ответах на вопросы RIPE 93 Fabrizio назвала арифметику с плавающей точкой трудной для реализации и сопоставила это с частым переходом на TCP. Заполнение не уменьшает слишком большой ответ; оно стабилизирует длину подписи, пока экосистема оценивает, стоит ли небольшой средней экономии дополнительная сложность.

Она также сообщила, что вместе с SIDN начинает испытательный стенд для нагрузки на резолверы и авторитетные серверы с Falcon и ML-DSA. На момент выступления результаты были слишком свежими для графиков. Следующий полезный шаг — связать распределение размеров с реальными повторами TCP и задержкой на резолвере. В статье не измерялись рекурсивные повторы в рабочей сети и задержка от начала до конца; эти данные могут изменить оценку операционной цены 11 байт.

Результат уже разделяет два класса ответов: большинство проверенных NOERROR оставалось ниже порогов, все NXDOMAIN превышали их. При выборе формата Falcon для DNSSEC нужно оценивать форму ответа и число доказательств, а не только медиану одной подписи.

Источники

страница доклада и аннотация RIPE 93 · официальная расшифровка сессии · запись публикации University of Twente · полный текст статьи в репозитории University of Twente (PDF)