Кратко

  • IANA присвоила номеру 18 имя ML-DSA-44 и отметила MAY для использования и реализации в подписи и проверке. Следующий барьер для отправленных DS задаёт политика EPP доменного реестра.
  • На RIPE 93 Joe Abley указал на этот барьер до проверки подписи. Его индивидуальный проект октября предлагает опирать приём алгоритмов и дайджестов на DNSSEC-реестры IANA.

Номер уже был в таблице. Заявка всё ещё могла застрять у следующего окна.

29 октября, на DNS-сессии RIPE 93, Joe Abley рассказал о попытках передать алгоритм 18 через EPP. По его словам, среди проверенных систем он не нашёл реестра, который принимал бы это значение. Затем он назвал исключение: сопровождающий включил изменение кода после разговора с Garth Miller. Один разговор и одно слияние открыли один путь, но не создали предсказуемого правила для остальных реестров.

Таблица алгоритмов DNSSEC IANA сейчас указывает номер 18 как ML-DSA-44. Она допускает алгоритм для подписи зоны и ставит MAY в графах использования и реализации для подписи и проверки. Это разрешённый уровень требований; внедрение в реестрах, подписывающих системах и проверяющих резолверах — отдельное операционное состояние.

Деталь EPP узкая, но решающая. RFC 5910 переносит DS-данные через EPP. Поле alg задаёт алгоритм DNSKEY, на который ссылается DS; digestType указывает способ вычисления дайджеста DS. Индивидуальный проект Joe Abley от 14 октября посвящён именно этим двум полям. Он предлагает использовать реестры IANA для алгоритмов и дайджестов DNSSEC как общую основу правил, исключая значения без пользы для DNSSEC. Datatracker показывает только индивидуальную версию 00 со статусом I-D Exists; документ не имеет статуса стандарта IETF.

Так становится видна точка контроля. Подписывающая сторона может подготовить новый алгоритм, а IANA — присвоить ему номер; родительский реестр всё равно решает, позволит ли регистратору передать DS. После отказа дочерняя зона не завершит необходимое изменение в родительской зоне. Непубличный локальный список превращает стандартный переход в угадывание.

Приём и проверка — разные решения. Резолвер без поддержки алгоритма игнорирует соответствующую DS. Если поддерживаемой DS не остаётся, этот резолвер считает дочернюю зону неподписанной. EPP открывает путь отправки; поддержка резолвера — отдельный этап внедрения.

В проекте нет датированной матрицы с названиями реестров и проверенными значениями EPP; публикация таких результатов показала бы масштаб различий.

Первичные источники: доклад на RIPE 93 · транскрипт DNS-сессии · реестр алгоритмов DNSSEC IANA · RFC 5910 · RFC 4035 · индивидуальный проект Joe Abley, версия 00.