]> git.ipfire.org Git - thirdparty/bind9.git/commit
Lower the maximum allowed NSEC3 iterations to 50
authorMatthijs Mekking <matthijs@isc.org>
Wed, 22 Nov 2023 15:12:51 +0000 (16:12 +0100)
committerMatthijs Mekking <matthijs@isc.org>
Tue, 5 Dec 2023 14:58:58 +0000 (14:58 +0000)
commitff4201e3886afeea5b878c6d20debee7483f869e
treef99a1dedcc77a2c34317903161cc9f12271975ba
parent3c08fbc79fd3047ac8cba8e82d3be7d1efce2c2f
Lower the maximum allowed NSEC3 iterations to 50

BIND 9 will now treat the response as insecure when processing NSEC3
records with iterations larger than 50.

Earlier, we limited the number of iterations to 150 (in #2445).

RFC 9276 says: Because there has been a large growth of open (public)
DNSSEC validating resolvers that are subject to compute resource
constraints when handling requests from anonymous clients, this
document recommends that validating resolvers reduce their iteration
count limits over time. Specifically, validating resolver operators and
validating resolver software implementers are encouraged to continue
evaluating NSEC3 iteration count deployment trends and lower their
acceptable iteration limits over time.

After evaluation, we decided that the next major BIND release should
lower the maximum allowed NSEC3 iterations to 50, which should be
fine for 99,87% of the domain names.
bin/dnssec/dnssec-signzone.c
lib/dns/include/dns/nsec3.h