Vervolg op eerste DNS Flag Day in de maak

"Internet weer een stukje beter gemaakt"

Per 1 februari stopte de ontwikkelaars van DNS resolvers en de grote operators met de ondersteuning van niet goed functionerende en verouderde DNS-servers in hun software. Software-versies van resolvers gepubliceerd na deze DNS Flag Day, bevatten niet langer de work-arounds voor servers die niet goed overweg kunnen met EDNS. Dat is een uitbreiding op het DNS-protocol die 20 jaar geleden met name voor DNSSEC is ingevoerd, en helpt om DNS-informatie te beveiligen en uitbreidingen van DNS mogelijk maakt.

Inmiddels is de evaluatie van deze opschoonactie gepubliceerd en wordt de volgende DNS Flag Day voorbereid. Uit gezamenlijke metingen van NLnet Labs, SIDN en het Rochester Institute of Technology blijkt dat het aandeel strikte resolvers in de vier maanden vanaf DNS Flag Day steeg van 15 naar 42 procent (inmiddels zitten we op 44 procent). Zoals je in onderstaande grafiek kunt zien, leverde Google's Public DNS-dienst de grootste bijdrage in deze stijging.

Meer over de uitkomsten van de eerste DNS Flag Day lees je in een blog van APNIC.

DNS Flag Day 2020

Inmiddels is de tweede DNS Flag Day in voorbereiding: hoewel de exacte datum nog niet is vastgesteld, stoppen de ontwikkelaars van resolver software in 2020 gezamenlijk met de ondersteuning van gefragmenteerde UDP-pakketten voor DNS. Dat betekent dat de EDNS-buffer size straks niet groter mag zijn dan ongeveer 1220 bytes (de precieze grootte wordt nog vastgesteld). En dat voor grotere pakketten de fallback naar transport over TCP goed moet werken. IP-fragmentatie op het hedendaagse internet is onbetrouwbaar en kan overdrachtsproblemen opleveren, als grote DNS-pakketten over UDP worden verstuurd. Bovendien zijn gefragmenteerde pakketten (theoretisch) kwetsbaar voor spoofing. Naar verwachting zal deze actie voor slechts een klein percentage van de servers problemen opleveren, bijvoorbeeld omdat DNS over TCP niet in orde is. Je kunt je autoritatieve DNS-server nu al testen met deze tool gepubliceerd door ISC, ook beschikbaar op de site van de initiatiefnemers zelf. Aan een web-gebaseerde test-tool voor clients en resolvers wordt nog gewerkt.