Barbara Jantzen, da deSEC, publicou uma análise de argumentos comuns sobre o DNSSEC, abordando sua complexidade, finalidade e valor mais amplo. O artigo também se baseia na lista IANIX, um registro mantido de interrupções relacionadas ao DNSSEC em todo o espaço de nomes.
Um argumento contra o DNSSEC é que o TLS já protege as conexões com sites. A análise de Jantzen rebate esse argumento observando que, primeiro, os navegadores precisam usar o DNS para encontrar um destino. Se essa consulta for redirecionada, o usuário poderá chegar a um site diferente; sem uma fixação rigorosa de certificados, um invasor ainda poderia obter uma conexão TLS respaldada por uma autoridade certificadora. Ataques de homógrafos podem fazer com que um destino pareça ainda mais confiável.
O DNSSEC acrescenta uma camada que o TLS, por si só, não oferece: evidências assinadas e verificáveis da origem das informações publicadas pelo titular de um domínio. Segundo Jantzen, isso pode servir de base para aplicações como DANE e CAA/TLS.
A análise aborda duas preocupações mais amplas: a possibilidade de controle estatal sobre o acesso à informação e o fato de que a implantação do DNSSEC continua incompleta. Jantzen reconhece que os controles estatais são uma preocupação real, mas argumenta que eles decorrem de estruturas jurídicas e sociais mais amplas, e não do próprio DNSSEC. Quanto à adoção, ela observa que a implantação incompleta não se resolve evitando a implantação e cita o IPv6 e o RPKI como tecnologias que levaram tempo para alcançar níveis úteis de adoção.
O artigo de Jantzen termina com mais de 60 manifestações de apoio de pessoas de diferentes áreas do ecossistema DNS, incluindo provedores, registros, registradores, órgãos de supervisão, pesquisadores e participantes de organismos de padronização.
Fontes: APNIC Blog.