Barbara Jantzen, de deSEC, ha publicado una revisión de argumentos habituales sobre DNSSEC, en la que aborda su complejidad, propósito y valor más amplio. El artículo también se basa en la lista IANIX, un registro actualizado de interrupciones relacionadas con DNSSEC en todo el espacio de nombres.
Un argumento contra DNSSEC es que TLS ya protege las conexiones a los sitios web. La revisión de Jantzen responde que los navegadores primero deben usar DNS para encontrar un destino. Si esa consulta se redirige, el usuario puede llegar a otro sitio; sin una fijación estricta de certificados, un atacante aún podría obtener una conexión TLS respaldada por una autoridad de certificación. Los ataques de homógrafos también pueden hacer que un destino parezca confiable.
DNSSEC añade una capa que TLS por sí solo no proporciona: pruebas firmadas y verificables del origen de la información publicada por el titular de un dominio. Según Jantzen, esto puede servir de base para aplicaciones como DANE y CAA/TLS.
La revisión aborda dos preocupaciones más amplias: la posibilidad de que los Estados controlen el acceso a la información y el hecho de que el despliegue de DNSSEC siga siendo incompleto. Jantzen reconoce que los controles estatales son una preocupación real, pero sostiene que surgen de marcos jurídicos y sociales más amplios, no de DNSSEC en sí. En cuanto a la adopción, señala que evitar el despliegue no resuelve que este sea incompleto y cita IPv6 y RPKI como tecnologías que necesitaron tiempo para alcanzar niveles de adopción útiles.
El artículo de Jantzen concluye con más de 60 adhesiones de personas de distintos ámbitos del ecosistema DNS, incluidos proveedores, registros, registradores, organismos de supervisión, investigadores y participantes en la elaboración de estándares.
Fuentes: APNIC Blog.