Barbara Jantzen di deSEC ha pubblicato una rassegna degli argomenti più comuni su DNSSEC, affrontandone la complessità, lo scopo e il valore più ampio. L’articolo si basa anche sull’elenco IANIX, un registro aggiornato delle interruzioni legate a DNSSEC nell’intero spazio dei nomi.
Un argomento contrario a DNSSEC è che TLS protegge già le connessioni ai siti web. La rassegna di Jantzen ribatte che i browser devono prima usare il DNS per individuare una destinazione. Se la ricerca viene reindirizzata, un utente può raggiungere un sito diverso; senza un forte meccanismo di certificate pinning, un malintenzionato potrebbe comunque ottenere una connessione TLS supportata da un’autorità di certificazione. Gli attacchi omografici possono inoltre far sembrare affidabile una destinazione.
DNSSEC aggiunge un livello che TLS, da solo, non offre: prove firmate e verificabili dell’origine delle informazioni pubblicate dal titolare di un dominio. Secondo Jantzen, questo può costituire la base per applicazioni come DANE e CAA/TLS.
La rassegna affronta due preoccupazioni più ampie: il potenziale controllo statale sull’accesso alle informazioni e il fatto che la diffusione di DNSSEC sia ancora incompleta. Jantzen riconosce che i controlli statali rappresentano una preoccupazione reale, ma sostiene che derivino da quadri giuridici e sociali più ampi, non da DNSSEC in sé. Quanto all’adozione, osserva che la diffusione incompleta non si risolve evitando di adottare la tecnologia e cita IPv6 e RPKI come tecnologie che hanno impiegato tempo per raggiungere livelli di diffusione utili.
L’articolo di Jantzen si conclude con oltre 60 endorsement da parte di persone appartenenti a diversi ambiti dell’ecosistema DNS, tra cui provider, registri, registrar, organismi di supervisione, ricercatori e partecipanti alla definizione degli standard.
Fonti: APNIC Blog.