Barbara Jantzen von deSEC hat eine Analyse gängiger Argumente zu DNSSEC veröffentlicht, die dessen Komplexität, Zweck und umfassenderen Nutzen behandelt. Der Artikel stützt sich auch auf die IANIX-Liste, eine fortlaufend gepflegte Dokumentation von Ausfällen im Zusammenhang mit DNSSEC im gesamten Namensraum.
Ein Argument gegen DNSSEC lautet, dass TLS Website-Verbindungen bereits absichert. Jantzens Analyse hält dem entgegen, dass Browser zuerst DNS verwenden müssen, um ein Ziel zu finden. Wird diese Abfrage umgeleitet, kann ein Nutzer auf einer anderen Website landen; ohne starkes Certificate Pinning könnte ein Angreifer dennoch eine TLS-Verbindung herstellen, die durch ein Zertifikat einer Zertifizierungsstelle abgesichert ist. Homograph-Angriffe können ein Ziel zusätzlich vertrauenswürdig erscheinen lassen.
DNSSEC fügt eine Sicherheitsebene hinzu, die TLS allein nicht bietet: einen signierten, überprüfbaren Herkunftsnachweis für Informationen, die von einem Domaininhaber veröffentlicht werden. Laut Jantzen kann dies Anwendungen wie DANE und CAA/TLS zugrunde liegen.
Die Analyse behandelt zwei weiter gefasste Bedenken: die Möglichkeit staatlicher Kontrolle des Zugangs zu Informationen und die Tatsache, dass DNSSEC noch nicht vollständig eingeführt ist. Jantzen räumt ein, dass staatliche Kontrollen ein reales Problem darstellen, argumentiert jedoch, dass sie auf umfassendere rechtliche und gesellschaftliche Rahmenbedingungen zurückgehen und nicht auf DNSSEC selbst. Zur Einführung merkt sie an, dass eine unvollständige Verbreitung nicht dadurch behoben wird, dass man auf die Einführung verzichtet. Als Beispiele nennt sie IPv6 und RPKI, Technologien, deren Verbreitung Zeit brauchte, um ein nützliches Niveau zu erreichen.
Jantzens Artikel schließt mit mehr als 60 Unterstützungserklärungen von Personen aus dem gesamten DNS-Ökosystem, darunter Anbieter, Registries, Registrare, Aufsichtsgremien, Forschende und Beteiligte an der Standardisierung.
Quellen: APNIC Blog.