QNAME minimisation на практике: RFC 7816, реализация, грабли

В сфере искусственного интеллекта произошло заметное событие. cyberscoper 16 минут назад QNAME minimisation на практике: RFC 7816, реализация, грабли Средний 6 мин 520 Сетевые технологии * DNS * Информационная безопасность * Go * Кейс Когда вы открываете mail. com, ваш рекурсивный резолвер делает три-четыре шага: спрашивает root, потом TLD, потом authoritative для google. com, иногда ещё один уровень.

Десятилетиями каждому из этих серверов отправлялся один и тот же вопрос целиком: «дай мне mail. Root-серверу, который понятия не имеет про google. TLD-серверу, который умеет только делегации com..

Технические детали

Каждый из них видел всю строку, хотя для своей работы нуждался в одной метке. В 2016 году Стефан Бортцмайер написал RFC 7816 и сказал: ребята, это странно. Давайте резолвер будет спрашивать ровно столько, сколько нужно для следующего хопа.

Идея простая до неприличия. И с этого момента началось десять лет внедрения. Что такое QNAME minimisationСтандартный recursive resolver работает так.

Юзер спрашивает mail. net, отправляет QUERY: mail. Root отвечает: я не знаю, спроси у gtld-servers.

Отраслевые последствия

net (referral на NS для com. Резолвер идёт к gtld-servers. net, отправляет QUERY: mail.

Тот отвечает: спроси у ns1. И только authoritative от Google выдаёт реальный IP. Заметьте: каждый сервер на пути получил полное имя mail.

Root, который физически не может ответить ничего полезного про конкретный хост, всё равно знает, что вы туда лезете. Это утечка ради ничего. С QNAME minimisation резолвер играет в более вежливую игру.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.