Barbara Jantzen, de deSEC, a publié une analyse des arguments courants concernant DNSSEC, portant sur sa complexité, son objectif et sa valeur plus générale. L’article s’appuie également sur la liste IANIX, un registre tenu à jour des pannes liées à DNSSEC dans l’ensemble de l’espace de noms.
L’un des arguments avancés contre DNSSEC est que TLS sécurise déjà les connexions aux sites Web. L’analyse de Jantzen répond que les navigateurs doivent d’abord utiliser le DNS pour trouver une destination. Si cette recherche est redirigée, un utilisateur peut aboutir sur un autre site ; en l’absence d’un épinglage strict des certificats, un attaquant pourrait tout de même obtenir une connexion TLS appuyée par un certificat délivré par une autorité de certification. Les attaques par homographe peuvent en outre donner à une destination une apparence digne de confiance.
DNSSEC ajoute une couche que TLS ne fournit pas à lui seul : une preuve signée et vérifiable de l’origine des informations publiées par le détenteur d’un domaine. Selon Jantzen, cela peut servir de fondement à des applications telles que DANE et CAA/TLS.
L’analyse aborde deux préoccupations plus générales : le risque que les États contrôlent l’accès à l’information et le fait que le déploiement de DNSSEC reste incomplet. Jantzen reconnaît que les contrôles exercés par les États constituent une véritable préoccupation, mais soutient qu’ils découlent de cadres juridiques et sociaux plus vastes plutôt que de DNSSEC lui-même. Concernant l’adoption, elle fait remarquer que le fait d’éviter le déploiement ne remédie pas à son caractère incomplet et cite IPv6 et RPKI, des technologies qui ont mis du temps à atteindre des niveaux d’adoption utiles.
L’article de Jantzen se conclut par plus de 60 témoignages de soutien de personnes issues de différents milieux de l’écosystème DNS, notamment des fournisseurs, des registres, des bureaux d’enregistrement, des organismes de supervision, des chercheurs et des participants aux travaux de normalisation.
Sources: APNIC Blog.