Bài viết này do AI tạo ra, tổng hợp từ APNIC Blog ngày 09/11/2026.
Chuyển DNSSEC sang chữ ký hậu lượng tử không chỉ là thay thuật toán. Phân tích mới của Geoff Huston trên APNIC cho thấy ML-DSA-44 làm response DNSSEC lớn hơn rất nhiều, có thể đẩy truy vấn từ UDP sang TCP ở quy mô đáng kể. Bài toán vì vậy nằm ở MTU, EDNS buffer, hành vi bit DO, cache và năng lực TCP của recursive lẫn authoritative resolver.
DO; APNIC ước tính khoảng 40% người dùng ở sau resolver có DNSSEC validation và thêm 8,5% có cơ chế fallback.DNSSEC ký RRset để resolver kiểm chứng tính xác thực của dữ liệu DNS. Thuật toán hậu lượng tử thường đổi lấy khả năng chống rủi ro máy tính lượng tử bằng key và chữ ký lớn hơn. Với ML-DSA-44, signature 2.420B đã vượt xa mức payload UDP bảo thủ thường dùng để tránh IP fragmentation. Không nên coi con số này là benchmark chung cho mọi zone hay mọi thuật toán PQC, nhưng nó chỉ ra áp lực transport rất thực tế.
DNS hiện tránh dựa vào IP fragmentation vì độ tin cậy và rủi ro bảo mật của fragment. DNS Flag Day 2020 khuyến nghị EDNS UDP buffer 1.232B để né fragmentation trên phần lớn mạng. Khi authoritative server không thể gửi đầy response qua UDP, nó đặt cờ truncation và client/resolver truy vấn lại bằng TCP. TCP là thành phần chuẩn của DNS, nhưng thêm handshake, state và packet làm tăng latency lẫn tải tài nguyên khi tỷ lệ fallback cao.
DO là DNSSEC OK trong EDNS: nó cho upstream biết client có thể nhận DNSSEC records như RRSIG, DNSKEY, DS. Nó không đồng nghĩa yêu cầu upstream thực hiện validation. Resolver security-aware thường đặt DO khi hỏi authoritative server, kể cả khi stub client cuối không cần nhận signature; mục tiêu là tránh DNSSEC stripping và tận dụng cache. Hệ quả trong kỷ nguyên PQC: một số query có thể kéo signature lớn dù người dùng cuối không trực tiếp cần chúng.
DO: yêu cầu DNSSEC records được đính kèm response.CD (Checking Disabled): yêu cầu recursive resolver không chặn dữ liệu chỉ vì validation thất bại.AD (Authenticated Data): recursive resolver báo dữ liệu trả về đã được DNSSEC xác thực.Vận hành DNSSEC không nên chỉ nhìn một bit. Cần biết stub có tự validate không, recursive có validate không, response có được cache không và kênh tới recursive resolver có đáng tin hay không.
DO, tỷ lệ TC bit và TCP fallback theo zone, resolver, ASN và IPv4/IPv6.DO hiện là ý tưởng đang thảo luận, chưa phải chuẩn áp dụng.PQC DNSSEC là bài toán transport và capacity, không chỉ bài toán crypto. Nếu signature làm phần lớn request DNSSEC chuyển UDP sang TCP, authoritative DNS phải chịu thêm state và recursive resolver phải xử lý latency khác hẳn. Không nên vội tắt DO hoặc né TCP: cả hai có trade-off về DNSSEC stripping, cache và độ phức tạp. Việc đúng lúc này là lập baseline response size, kiểm tra TCP/53 thực chiến, rồi theo dõi chuẩn hóa trước khi đặt roadmap thay thuật toán. Với zone quan trọng, đo đạc thực tế đáng tin hơn giả định từ thông số key size.
APNIC Blog, “The DOs and don’ts of post-quantum DNSSEC”, 09/11/2026; dữ liệu đo APNIC Labs và các tài liệu RFC/IETF được bài gốc trích dẫn. Bài công khai không đặt liên kết nguồn ngoài.
