Summary

  • Geoff Huston 与两位合作者提出：不执行 DNSSEC 验证的递归解析器，在收到未设 DO 位的请求时，向权威服务器发出的请求也应清除 DO 位。
  • APNIC Labs 在截至 2026 年 11 月 3 日的一周测得约 363 亿次查询，其中 60.2% 设有 DO 位。草案要求缓存记住哪些应答没有签名，以便后来补查。

DNS 解析器有时会索取一份自己不核验的加密凭据。Geoff Huston 想在后量子签名把这份凭据撑大之前算清账。APNIC 的原始分析写道，截至 11 月 3 日的一周，APNIC Labs 测得约 363 亿次查询，60.2% 带有 DNSSEC OK，即 DO 位。这是其测量流量，不是全球所有 DNS 查询的清点。

APNIC 官方团队页列 Huston 为首席科学家。他与 Warren Kumari、Peter Thomassen 提交的IETF 个人草案提出：如果递归解析器自己不验证 DNSSEC，且客户端请求没有 DO 位，向权威服务器发出的请求也清除该位。这样权威服务器可省去签名记录；未来签名变大时，部分应答也可少走 TCP。

省下的不是免费午餐。草案要求解析器在缓存里记住哪条应答没有 DNSSEC 材料。下一个客户端若带着 DO 位来，就必须重新问权威服务器。作者把方案称为供讨论的想法，承认可能增加查询和实现复杂度。现行 RFC 4035 要求具备安全意识的解析器设置 DO 位；这份草案尚未改变现行规则。

Huston 先前研究的是截断应答后解析器能否转向 TCP；这次追问的是谁先点了那份大应答。要判断这笔交换是否划算，还缺实际部署中节省的字节、TCP 负载与额外缓存查询的对照。